CVE-2026-87994 in Open WebUI
Sumário
de VulDB • 10/09/2026
O Open WebUI é uma plataforma de IA auto-hospedada extensível, rica em recursos e amigável ao usuário. Da versão 0.9.5 até a 0.11.1, o branch `chat_completion` do canal no arquivo `backend/open_webui/main.py` verificava permissão de escrita no canal e a associação ao canal para um `message_id` fornecido, mas não verificava se o usuário que estava fazendo a chamada era o autor da mensagem alvo. Um membro do canal poderia usar o endpoint de conclusões de chat (chat completions) para substituir a mensagem de outro membro, mantendo a vítima como autora armazenada, alterando assim o registro da conversa sem obter acesso a outros canais. Este problema foi corrigido na versão 0.11.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.