CVE-2026-70491 in Open WebUI
요약
\~에 의해 VulDB • 2026. 08. 05.
Open WebUI는 확장 가능하고 기능이 풍부하며 사용자 친화적인 자체 호스팅 AI 플랫폼입니다. 버전 0.10.2 및 이전 버전에서 backend/open_webui/routers/tools.py의 GET /api/v1/tools/, GET /api/v1/tools/list, 그리고 GET /api/v1/tools/id/{id} 엔드포인트는 인증된 비관리자 읽기 전용 사용자에게 전체 Python 도구 소스 코드를 반환했습니다. ToolResponse는 의도적으로 소스와 스펙을 생략했지만, ToolUserResponse는 추가 필드를 허용하고 핸들러가 전체 도구 모델 덤프를 응답에 포함시킴으로써 생략된 필드들을 다시 노출시켰습니다. 읽기 권한이 있는 비관리자는 다른 사용자의 서버 측 도구 소스를 획득할 수 있으며, 이에는 일반적으로 하드코딩된 API 키, 자격 증명 및 내부 서비스 URL이 포함되어 있습니다. 이 문제는 버전 0.11.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.