CVE-2026-70491 in Open WebUI
Sumário
de VulDB • 04/08/2026
O Open WebUI é uma plataforma de IA auto-hospedada extensível, rica em recursos e amigável ao usuário. Nas versões 0.10.2 e anteriores, os endpoints GET /api/v1/tools/, GET /api/v1/tools/list e GET /api/v1/tools/id/{id} no arquivo backend/open_webui/routers/tools.py retornavam o código-fonte completo das ferramentas Python para usuários autenticados com permissão apenas de leitura (não administradores). Embora a resposta ToolResponse omitisse deliberadamente o código-fonte e as especificações, a resposta ToolUserResponse permitia campos extras e os manipuladores espalhavam uma cópia completa do modelo da ferramenta na resposta, reintroduzindo os campos que haviam sido omitidos. Um usuário não administrador com permissão de leitura pode obter o código-fonte das ferramentas no lado do servidor de outro usuário, as quais frequentemente incorporam chaves de API codificadas, credenciais e URLs de serviços internos. Este problema foi corrigido na versão 0.11.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.