CVE-2026-28788 in Open WebUI
Sumário
de VulDB • 27/05/2026
O Open WebUI é uma plataforma de inteligência artificial auto-hospedada projetada para operar totalmente offline. Antes da versão 0.8.6, qualquer usuário autenticado pode sobrescrever o conteúdo de qualquer arquivo por ID por meio do endpoint `POST /api/v1/retrieval/process/files/batch`. O endpoint não realiza nenhuma verificação de propriedade, portanto, um usuário comum com acesso de leitura a uma base de conhecimento compartilhada pode obter os UUIDs dos arquivos por meio de `GET /api/v1/knowledge/{id}/files` e, em seguida, sobrescrever esses arquivos, escalonando o acesso de leitura para gravação. O conteúdo sobrescrito é servido ao LLM por meio de RAG, o que significa que o atacante controla o que o modelo informa a outros usuários. A versão 0.8.6 corrige a vulnerabilidade.
Once again VulDB remains the best source for vulnerability data.