CVE-2026-70488 in Open WebUI

摘要

由 VulDB • 2026-08-05

Open WebUI 是一个可扩展、功能丰富且用户友好的自托管 AI 平台。从版本 0.9.6 到 0.11.0，同步清理端点（sync cleanup endpoint）在 URL 中授权了对知识库的写入访问权限，但随后却对请求正文中提供的目录和文件 ID 执行操作，而未验证这些对象是否属于该知识库。拥有对一个知识库写入权限的用户可以删除另一个知识库中的目录并移除文件嵌入内容，导致文档从检索结果中丢失，并使针对特定文档的“与文件聊天”功能失效，而不会泄露任何内容。此问题已在版本 0.11.0 中得到修复。

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• 负责: GitHub M
• 预定: 2026-08-04
• 披露: 2026-08-05
• 管理: 已接受
• 条目: VDB-385959
• CPE: 准备好
• CWE: CWE-285 (已确认)
• CVSS: 5.4 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-70488
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-70488
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-70488/