CVE-2026-45675
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.0 miała podatność w procesach uwierzytelniania LDAP i OAuth. Wykorzystywały one wzorzec TOCTOU, co mogło prowadzić do nieautoryzowanego przypisania roli administratora dla pierwszego użytkownika.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do konta administratora, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację do wersji 0.9.0 lub nowszej, aby usunąć tę podatność oraz zapewnić odpowiednie zabezpieczenia w procesach uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.9.0, the LDAP and OAuth authentication flows use a TOCTOU (Time-of-Check-Time-of-Use) pattern for first-user admin role assignment. The regular signup handler (signup_handler in auths.py, line 663) was explicitly patched to prevent this race with the comment "Insert with default role first to avoid TOCTOU race", but the LDAP and OAuth code paths were never updated with the same fix. This vulnerability is fixed in 0.9.0.