CVE-2026-45339 in Open WebUI
요약
\~에 의해 VulDB • 2026. 05. 18.
Open WebUI는 완전히 오프라인에서 작동하도록 설계된 자체 호스팅형 인공지능 플랫폼입니다. 0.9.0 이전 버전의 Open WebUI에서는 관리자가 API 키가 접근할 수 있는 API 엔드포인트를 제한할 수 있습니다. API 키가 /api/v1/messages에 대해 제한될 경우, Authorization: Bearer sk-... 헤더를 사용하는 요청은 403으로 올바르게 차단됩니다. 그러나 동일한 키가 x-api-key 헤더를 통해 전송되면 제한이 완전히 우회됩니다. 즉, 요청이 인증되고 모델이 호출되며 전체 응답이 반환됩니다. 이 취약점은 0.9.0에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.