CVE-2026-44569
WysokieStreszczenie
W Open WebUI przed wersją 0.6.19 występuje podatność IDOR w systemie zarządzania wiadomościami kanałów, która pozwala uwierzytelnionym użytkownikom na modyfikację lub usunięcie dowolnej wiadomości w kanałach, do których mają dostęp. Problem wynika z braku walidacji własności wiadomości w punktach końcowych aktualizacji i usuwania wiadomości.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowane modyfikacje lub usunięcia wiadomości przez użytkowników, co może prowadzić do utraty danych i naruszenia integralności informacji.
Rekomendacja
Zaleca się aktualizację do wersji 0.6.19 lub nowszej, aby usunąć tę podatność oraz wdrożenie dodatkowych kontroli bezpieczeństwa na poziomie backendu.
Oryginalny opis (angielski, źródło NVD)
Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.6.19, there's an IDOR in the channels message management system that allows authenticated users to modify or delete any message within channels they have read access to. The vulnerability exists in the message update and delete endpoints, which implement channel-level authorization but completely lack message ownership validation. While the frontend correctly implements ownership checks (showing edit/delete buttons only for message owners or admins), the backend APIs bypass these protections by only validating channel access permissions without verifying that the requesting user owns the target message. This creates a client-side security control bypass where attackers can directly call the APIs to modify other users' messages. This vulnerability is fixed in 0.6.19.