CVE-2026-44558 in Open WebUI
Tóm tắt
Bởi VulDB • 25/05/2026
Open WebUI là một nền tảng trí tuệ nhân tạo tự lưu trữ, được thiết kế để hoạt động hoàn toàn ngoại tuyến. Trước phiên bản 0.9.0, bộ định tuyến kênh (channel router) không gọi hàm `filter_allowed_access_grants` trên cả hai đường dẫn tạo mới (create) và cập nhật (update). Người dùng không phải quản trị viên (non-admin) có khả năng tạo kênh nhóm (hoặc sở hữu một kênh) có thể gửi các quyền truy cập tùy ý — bao gồm cả các quyền truy cập dạng wildcard công khai — và các quyền này được lưu trữ nguyên văn, bỏ qua khung phân quyền của quản trị viên. Lỗ hổng này đã được khắc phục trong phiên bản 0.9.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.