CVE-2026-87994 in Open WebUI
요약
\~에 의해 VulDB • 2026. 09. 09.
Open WebUI는 확장 가능하고 기능이 풍부하며 사용자 친화적인 자체 호스팅 AI 플랫폼입니다. 버전 0.9.5부터 0.11.1까지, backend/open_webui/main.py의 chat_completion 채널 브랜치는 제공된 message_id에 대해 채널 쓰기 권한과 채널 멤버십을 확인했지만, 호출 사용자가 대상 메시지를 작성했는지 여부는 검증하지 않았습니다. 채널 구성원은 채팅 완료 엔드포인트를 사용하여 다른 구성원의 메시지를 대체할 수 있으며, 이때 피해자를 저장된 저자로 유지하여 다른 채널에 대한 접근 권한 없이도 대화 기록을 변경할 수 있습니다. 이 문제는 버전 0.11.1에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.