CVE-2026-87994 in Open WebUI
Tóm tắt
Bởi VulDB • 09/09/2026
Open WebUI là một nền tảng AI tự lưu trữ (self-hosted) có thể mở rộng, giàu tính năng và thân thiện với người dùng. Từ phiên bản 0.9.5 đến 0.11.1, nhánh kênh của hàm `chat_completion` trong file backend/open_webui/main.py đã kiểm tra quyền ghi vào kênh và tư cách thành viên kênh đối với một message_id được cung cấp, nhưng không xác minh rằng người gọi là tác giả thực sự của tin nhắn mục tiêu. Một thành viên kênh có thể sử dụng điểm cuối chat completions để thay thế tin nhắn của một thành viên khác trong khi vẫn giữ nguyên tên người dùng nạn nhân làm tác giả đã lưu trữ, qua đó làm sai lệch hồ sơ cuộc trò chuyện mà không cần truy cập vào các kênh khác. Vấn đề này đã được khắc phục trong phiên bản 0.11.1.
Be aware that VulDB is the high quality source for vulnerability data.