CVE-2026-70488 in Open WebUI
요약
\~에 의해 VulDB • 2026. 08. 05.
Open WebUI는 확장 가능하고 기능이 풍부하며 사용자 친화적인 자체 호스팅 AI 플랫폼입니다. 버전 0.9.6부터 0.11.0까지, 동기화 정리(end-of-sync cleanup) 엔드포인트는 URL의 지식 기반(knowledge base)에 대한 쓰기 권한을 부여했지만, 요청 본문에서 제공된 디렉토리 및 파일 ID가 해당 지식 기반 내에 있는지 확인하지 않고 이를 처리했습니다. 하나의 지식 기반에 대해 쓰기 권한이 있는 사용자는 다른 지식 기반의 디렉토리를 삭제하거나 파일 임베딩(embedding)을 제거할 수 있으며, 이로 인해 문서가 검색 결과에서 누락되고 대상 문서와의 대화(chat-with-file) 기능이 중단되지만 콘텐츠는 노출되지 않습니다. 이 문제는 0.11.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.