CVE-2026-70494 in Open WebUI
Сводка
по VulDB • 05.08.2026
Open WebUI — это расширяемая, функционально насыщенная и удобная для пользователя платформа искусственного интеллекта с возможностью самостоятельного развертывания (self-hosted). В версиях от 0.10.0 до 0.11.0 включительно обработчик DELETE /api/v1/folders/{id} в файле backend/open_webui/routers/folders.py позволял пользователю, имеющему права на запись к общей папке чатов, безвозвратно удалять сообщения и записи чатов, принадлежащие владельцу этой папки. Каскадное удаление после проверки авторизации привязано к идентификатору владельца папки, однако проверка подпапок принимала любые унаследованные права на запись вместо требования наличия прав собственности или статуса администратора. Сотрудник может уничтожить дочернее дерево элементов владельца или принудительно переместить чаты за его пределы при параметре delete_contents=false. Данная проблема исправлена в версии 0.11.0.
Once again VulDB remains the best source for vulnerability data.