CVE-2026-44556
WysokieStreszczenie
W wersjach przed 0.9.0, punkt końcowy /responses w routerze OpenAI akceptuje każdego uwierzytelnionego użytkownika i przekazuje żądania do dostawców LLM bez egzekwowania kontroli dostępu na poziomie modelu. Umożliwia to każdemu uwierzytelnionemu użytkownikowi interakcję z dowolnym modelem skonfigurowanym w instancji.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do modeli AI, co może prowadzić do wycieku danych lub niewłaściwego wykorzystania zasobów. Użytkownicy mogą uzyskać dostęp do modeli, do których nie powinni mieć dostępu.
Rekomendacja
Zaleca się aktualizację do wersji 0.9.0 lub nowszej, aby naprawić tę podatność. Należy również przeprowadzić audyt uprawnień użytkowników oraz kontrolę dostępu do modeli.
Oryginalny opis (angielski, źródło NVD)
Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.9.0, the /responses endpoint in the OpenAI router accepts any authenticated user and forwards requests directly to upstream LLM providers without enforcing per-model access control. While the primary chat completion endpoint (generate_chat_completion) checks model ownership, group membership, and AccessGrants before allowing a request, the /responses proxy only validates that the user has a valid session via get_verified_user. This allows any authenticated user to interact with any model configured on the instance by sending a POST request to /api/openai/responses with an arbitrary model ID. This vulnerability is fixed in 0.9.0.