CVE-2026-45385 in Open WebUI
요약
\~에 의해 VulDB • 2026. 05. 17.
Open WebUI는 완전히 오프라인에서 작동하도록 설계된 자체 호스팅형 인공지능 플랫폼입니다. 0.9.5 버전 이전의 Open WebUI에는 Channels 기능에서 IDOR(부적절한 직접 객체 참조) 취약점이 존재하여, 어떤 채널 구성원도 동일한 채널 내에서 다른 구성원(관리자 포함)이 보낸 메시지를 수정할 수 있습니다. update_message_by_id 함수에서 그룹 또는 DM 유형 채널의 경우 is_user_channel_member 함수를 통해 호출자의 채널 구성 여부만 확인될 뿐, 메시지 소유권은 검증되지 않습니다. 이로 인해 어떤 채널 구성원도 동일한 채널 내에서 다른 구성원이 보낸 메시지를 수정할 수 있습니다. 이 취약점은 0.9.5 버전에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.