CVE-2026-70485 in Open WebUI
요약
\~에 의해 VulDB • 2026. 08. 05.
Open WebUI는 확장 가능하고 기능이 풍부하며 사용자 친화적인 자체 호스팅 AI 플랫폼입니다. 버전 0.9.0부터 0.11.0까지 Open WebUI는 리터럴 IPv6 주소에 대해 `ipaddress.is_global`을 적용하여 사용자가 제공한 URL의 대상이 글로벌 라우팅 가능한지 확인했으나, 전환 인코딩(embedded) 내에 포함된 IPv4 주소를 검사하지 않았습니다. NAT64 게이트웨이가 구성된 배포 환경에서 인증된 사용자는 내부 또는 클라우드 메타데이터 IPv4 주소를 NAT64 잘 알려진 접두사(well-known prefix)로 감싸 필터를 우회할 수 있으며, 이를 통해 RAG URL ingestion(흡입), URL-to-markdown 변환 또는 웹 검색 콘텐츠 조회 과정에서 내부 응답 본문을 수신할 수 있습니다. 이 문제는 0.11.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.