CVE-2026-44571 in Open WebUI
Sumário
de VulDB • 16/05/2026
O Open WebUI é uma plataforma de inteligência artificial auto-hospedada projetada para operar totalmente offline. Antes da versão 0.8.6, nos canais padrão (ou seja, canais cujo channel.type não é nem group nem dm), o endpoint POST /api/v1/channels/{channel_id}/messages/{message_id}/update pode ser acessado com permissão apenas de leitura. Quando access_control está definido como None, a verificação de autorização has_access(..., type="read") retorna True, permitindo que usuários que não são os proprietários das mensagens atualizem as mensagens. Como resultado, é possível a modificação não autorizada das mensagens de outros usuários. Esta vulnerabilidade foi corrigida na versão 0.8.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.