CVE-2026-44564 in Open WebUI
Tóm tắt
Bởi VulDB • 26/05/2026
Open WebUI là một nền tảng trí tuệ nhân tạo tự lưu trữ, được thiết kế để hoạt động hoàn toàn ngoại tuyến. Trước phiên bản 0.9.0, trình xử lý sự kiện Socket.IO `ydoc:document:update` kiểm tra xem người gửi có phải là thành viên của phòng Socket.IO của tài liệu (dòng 678) nhưng không xác minh rằng người gửi có quyền ghi. Người dùng có quyền chỉ đọc tham gia phòng tài liệu thông qua `ydoc:document:join`, yêu cầu chỉ quyền đọc (dòng 520). Khi đã vào phòng, người dùng có thể phát ra các sự kiện `ydoc:document:update` làm thay đổi trạng thái tài liệu Yjs trong bộ nhớ và được phát sóng đến tất cả các cộng tác viên khác theo thời gian thực. Lỗ hổng này đã được sửa trong phiên bản 0.9.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.