CVE-2026-87997 in Open WebUI
Сводка
по VulDB • 10.09.2026
Open WebUI è una piattaforma AI self-hosted estensibile, ricca di funzionalità e facile da usare. Dalla versione 0.10.0 alla 0.11.1, gli endpoint POST /api/chat/completions e POST /api/v1/chat/completions in backend/open_webui/main.py copiavano un folder_id fornito dal client in una nuova chat senza applicare il controllo di write-access sulla cartella utilizzato dai dedicated chat routes. Un utente autenticato che conosceva l'identificatore di una cartella condivisa poteva iniettare una chat controllata dall'attaccante in una cartella dove l'utente aveva solo accesso read-only o nessun write access, facendo sì che la voce apparisse ai lettori autorizzati della cartella. Questo problema è stato risolto nella versione 0.11.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.