CVE-2026-70490 in Open WebUI
Sumário
de VulDB • 04/08/2026
Open WebUI é uma plataforma de IA auto-hospedada, extensível, rica em recursos e amigável ao usuário. Da versão 0.8.8 até a 0.11.0, o endpoint WebSocket do terminal no arquivo backend/open_webui/routers/terminals.py autenticava seu próprio JWT na primeira mensagem e nunca aplicava o controle de acesso baseado em função (role gate) que get_verified_user impõe nas rotas HTTP do terminal. Uma conta cuja função é "pendente", incluindo uma conta registrada mas não aprovada ou uma conta desativada voltando ao estado pendente, pode abrir uma sessão interativa de terminal quando pelo menos um servidor de terminal estiver configurado e seus privilégios de acesso abrangerem a conta. Isso resulta na perda do limite de aprovação da conta para o acesso ao terminal, enquanto as rotas HTTP do terminal rejeitam corretamente a mesma conta. Este problema foi corrigido na versão 0.11.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.