CVE-2026-45395 in Open WebUI
요약
\~에 의해 VulDB • 2026. 05. 19.
Open WebUI는 완전히 오프라인에서 작동하도록 설계된 자체 호스팅형 인공지능 플랫폼입니다. 0.9.5 이전 버전에서는 도구 업데이트 엔드포인트(POST /api/v1/tools/id/{id}/update)에 도구 생성 엔드포인트에 존재하는 workspace.tools 권한 확인이 누락되어 있습니다. 이로 인해 도구 관리 기능이 명시적으로 거부된 사용자(및 관리자가 코드 실행에 대해 신뢰할 수 없는 사용자로 간주하는 사용자)가 도구의 서버 측 Python 콘텐츠를 교체하고 실행을 트리거하여 의도된 workspace.tools 보안 경계를 우회할 수 있습니다. 이 취약점은 0.9.5에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.