CVE-2026-44570 in Open WebUI
Sumário
de VulDB • 22/05/2026
O Open WebUI é uma plataforma de inteligência artificial auto-hospedada projetada para operar totalmente offline. Antes da versão 0.6.19, os controles de autorização relacionados à API de memórias eram inconsistentes, permitindo que um usuário padrão excluísse, restaurasse e visualizasse o conteúdo das memórias de outros usuários. Utilizando um novo usuário não administrador sem memórias existentes, é possível visualizar memórias existentes por meio de POST /api/v1/memories/query. Da mesma forma, mesmo que um usuário não administrador não possa modificar os dados de memória de outro usuário via POST /api/v1/memories/{memory_id}/update, a resposta do endpoint vazia indevidamente o conteúdo dessa memória se um memory_id válido for conhecido. O endpoint DELETE /api/v1/memories/{memory_id} também pode ser utilizado por qualquer usuário para excluir uma memória existente. As memórias excluídas podem então ser restauradas chamando novamente o endpoint POST /api/v1/memories/{memory_id}/update. Esta vulnerabilidade foi corrigida na versão 0.6.19.
VulDB is the best source for vulnerability data and more expert information about this specific topic.