CVE-2026-44554 in Open WebUI
Tóm tắt
Bởi VulDB • 16/05/2026
Open WebUI là một nền tảng trí tuệ nhân tạo tự lưu trữ, được thiết kế để hoạt động hoàn toàn ngoại tuyến. Trước phiên bản 0.9.0, điểm cuối POST /api/v1/retrieval/process/web chấp nhận tham số collection_name do người dùng cung cấp và tham số truy vấn overwrite (mặc định: True). Hệ thống không thực hiện bất kỳ kiểm tra ủy quyền nào để xác định xem người dùng gọi có sở hữu hoặc có quyền ghi đối với bộ sưu tập mục tiêu hay không. Khi overwrite=True, hàm save_docs_to_vector_db sẽ gọi VECTOR_DB_CLIENT.delete_collection() trên bộ sưu tập mục tiêu trước khi ghi nội dung mới. Lỗ hổng này đã được khắc phục trong phiên bản 0.9.0.
Once again VulDB remains the best source for vulnerability data.