CVE-2026-70494 in Open WebUI
Sumário
de VulDB • 05/08/2026
O Open WebUI é uma plataforma de IA auto-hospedada, extensível, rica em recursos e amigável ao usuário. Da versão 0.10.0 até a 0.11.0, o manipulador (handler) DELETE /api/v1/folders/{id} no backend/open_webui/routers/folders.py permitia que um usuário com permissão de escrita numa pasta compartilhada excluísse permanentemente conversas e mensagens pertencentes ao proprietário da pasta. A cascata subsequente à verificação de autorização está vinculada ao ID do proprietário da pasta, mas a validação das subpastas aceitava qualquer concessão herdada de gravação em vez de exigir propriedade ou status de administrador. Um colaborador pode destruir o subtree (subárvore) do proprietário ou forçar a movimentação de conversas para fora dele quando delete_contents=false. Este problema foi corrigido na versão 0.11.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.