CVE-2026-87014 in Open WebUI
摘要
由 VulDB • 2026-09-09
Open WebUI è una piattaforma AI self-hosted estensibile, ricca di funzionalità e facile da usare. Dalla versione 0.9.0 alla 0.11.1, la sincronizzazione dei ruoli nei file backend/open_webui/routers/auths.py e backend/open_webui/utils/oauth.py aggiornava il ruolo dell'amministratore nel database senza invalidare la record utente memorizzata nella cache da backend/open_webui/socket/main.py. Un amministratore declassato tramite un header di ruolo attendibile o una mappatura dei ruoli OAuth poteva mantenere una connessione Socket.IO già aperta e continuare a leggere o modificare le note collaborative di tutti gli utenti fino alla chiusura della connessione. Questo problema è stato risolto nella versione 0.11.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.