CVE-2026-44570
WysokieStreszczenie
W Open WebUI przed wersją 0.6.19 występowały niespójności w kontrolach autoryzacji dotyczących API pamięci, co pozwalało standardowym użytkownikom na usuwanie, przywracanie i przeglądanie zawartości pamięci innych użytkowników.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do danych użytkowników, co może prowadzić do utraty poufności informacji oraz naruszenia prywatności.
Rekomendacja
Zaleca się aktualizację do wersji 0.6.19, aby usunąć tę podatność oraz wprowadzenie dodatkowych kontroli dostępu do API pamięci.
Oryginalny opis (angielski, źródło NVD)
Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.6.19, authorization controls surrounding the memories API were inconsistent, resulting in the ability of a standard user to delete, restore, and view the contents of other users' memories. Using a newly created non-admin user with no existing memories, it is possible to view existing memories via POST /api/v1/memories/query. Similarly, even if a non-admin user cannot modify another user's memory data via POST /api/v1/memories/{memory_id}/update, the endpoint's response improperly leaks the content of that memory if a valid memory_id is known. The DELETE /api/v1/memories/{memory_id} can also be used by any user to delete an existing memory. Deleted memories can then be restored by calling the POST /api/v1/memories/{memory_id}/update endpoint again. This vulnerability is fixed in 0.6.19.