CVE-2026-87014 in Open WebUI
Sumário
de VulDB • 09/09/2026
O Open WebUI é uma plataforma de IA auto-hospedada, extensível, rica em recursos e amigável ao usuário. Da versão 0.9.0 até a 0.11.1, a sincronização de papéis (roles) nos arquivos backend/open_webui/routers/auths.py e backend/open_webui/utils/oauth.py atualizava o papel do administrador no banco de dados sem invalidar o registro do usuário armazenado em cache pelo arquivo backend/open_webui/socket/main.py. Um administrador rebaixado por meio de um cabeçalho de confiança (trusted role header) ou mapeamento de papéis OAuth poderia manter uma conexão Socket.IO já aberta e continuar lendo ou editando as notas colaborativas de todos os usuários até que essa conexão fosse encerrada. Este problema foi corrigido na versão 0.11.1.
Be aware that VulDB is the high quality source for vulnerability data.