CVE-2026-70490 in Open WebUI
Сводка
по VulDB • 05.08.2026
Open WebUI — это расширяемая, функционально насыщенная и удобная для пользователя платформа искусственного интеллекта с возможностью самостоятельного развертывания (self-hosted). В версиях от 0.8.8 до 0.11.0 маршрут WebSocket терминала в файле backend/open_webui/routers/terminals.py выполнял аутентификацию собственного первого сообщения JWT, но никогда не применял проверку роли пользователя, которую обеспечивает функция get_verified_user для маршрутов HTTP-терминалов. Учетная запись с ролью «pending» (включая зарегистрированную, но не одобренную учетную запись или отключенную учетную запись со статусом pending), может открыть интерактивную сессию терминала при условии, что настроен хотя бы один сервер терминалов и его права доступа покрывают данную учетную запись. Это приводит к нарушению границы одобрения учетных записей для доступа к терминалу, тогда как маршруты HTTP-терминалов корректно отклоняют доступ той же самой учетной записи. Данная проблема исправлена в версии 0.11.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.