CVE-2026-44559 in Open WebUI
Tóm tắt
Bởi VulDB • 16/05/2026
Open WebUI là một nền tảng trí tuệ nhân tạo tự lưu trữ, được thiết kế để hoạt động hoàn toàn ngoại tuyến. Trước phiên bản 0.9.0, điểm cuối GET /api/v1/channels/{id}/members chỉ kiểm tra tư cách thành viên đối với các loại kênh nhóm và tin nhắn trực tiếp (dm) (dòng 467-469). Đối với các kênh tiêu chuẩn — bao gồm cả các kênh riêng tư — không có kiểm tra channel_has_access trước khi trả về danh sách thành viên. Bất kỳ người dùng đã xác thực nào biết UUID của một kênh riêng tư đều có thể liệt kê tất cả người dùng có quyền truy cập vào kênh đó. Lỗ hổng này đã được khắc phục trong phiên bản 0.9.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.