CVE-2026-59215
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W Open WebUI przed wersją 0.10.0 stwierdzono podatność polegającą na braku weryfikacji, czy identyfikator wątku (parent_id) należy do kanału wskazanego w URL. Umożliwia to uwierzytelnionemu użytkownikowi odwołanie się do wiadomości z innego prywatnego kanału lub kanału DM i ujawnienie kontekstu wątku między kanałami.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do treści prywatnych rozmów i wątków, co może prowadzić do wycieku poufnych informacji między użytkownikami lub kanałami.
Rekomendacja
Należy niezwłocznie zaktualizować Open WebUI do wersji 0.10.0 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Oryginalny opis (angielski, źródło NVD)
Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. Prior to 0.10.0, channel thread parent and reply handling did not bind parent_id to the channel in the URL, allowing an authenticated user to reference a message from another private or DM channel and disclose thread context across channels. This issue is fixed in version 0.10.0.