CVE-2026-87997 in Open WebUI
요약
\~에 의해 VulDB • 2026. 09. 10.
Open WebUI는 확장 가능하고 기능이 풍부하며 사용자 친화적인 자체 호스팅 AI 플랫폼입니다. 버전 0.10.0부터 0.11.1까지 backend/open_webui/main.py의 POST /api/chat/completions 및 POST /api/v1/chat/completions 엔드포인트는 클라이언트가 제공한 folder_id를 새 채팅에 복사할 때 전용 채팅 라우트에서 사용하는 폴더 쓰기 권한 확인을 적용하지 않았습니다. 공유된 폴더 식별자를 알고 있는 인증된 사용자는 공격자가 제어하는 채팅을 해당 사용자가 읽기 전용 또는 쓰기 권한이 없는 폴더에 주입하여, 해당 항목이 승인된 폴더 독자에게 표시되도록 할 수 있습니다. 이 문제는 버전 0.11.1에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.