CVE-2026-70483
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Open WebUI w wersjach od 0.9.6 do 0.11.0 umożliwia uwierzytelnionemu użytkownikowi anulowanie zadań (np. generowania odpowiedzi modelu) innego użytkownika, znając jego identyfikator czatu. Dzieje się tak, ponieważ operacja usuwania czatu anuluje zadania przed sprawdzeniem uprawnień do usunięcia. Luka została naprawiona w wersji 0.11.0.
Ocena ryzyka
Atakujący może zakłócać pracę innych użytkowników, przerywając ich aktywne zadania, co może prowadzić do utraty produktywności i zaufania do platformy.
Rekomendacja
Zaleca się natychmiastową aktualizację Open WebUI do wersji 0.11.0 lub nowszej, aby wyeliminować tę podatność.
Oryginalny opis (angielski, źródło NVD)
Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. From 0.9.6 until 0.11.0, DELETE /api/v1/chats/{id} cancelled a chat's in-flight tasks before checking whether the caller could delete that chat. Any authenticated user who knew another user's chat id could abort that user's running model response, title generation, or tag generation, even though the delete was refused and no chat data was deleted, modified, or disclosed. This issue is fixed in 0.11.0.