p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

open-webui 0.8.12: bekannte Sicherheitslücken · Seite 5

Bekannte Sicherheitslücken für open-webui 0.8.12: 83. Vergleichen Sie die unten genannten Korrekturen mit Ihrer installierten Version.

RSS ↗ JSON ↗
Sicherheitslücken filtern
Filter zurücksetzen

Sicherheitslücken: 83

  1. CVE-2026-45671

    Hoch · CVSS 8.0EPSS 0,27%Korrektur verfügbar

    Open WebUI: shared-chat branch ignores access_type, allowing unauthorized file deletion

    Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.9.0, any authenticated user can permanently delete files owned by other users via DELETE /api/v1/files/{id} when the target file is referenced in any shared chat. The has_access_to_file() authorization gate unconditionally grants access through its shared-chat branch. It checks neither the requesting user's identity nor the type of operation being performed. File UUIDs (which would otherwise be impractical to guess) are disclosed to any user with read access to a knowledge base via GET /api/v1/knowledge/{id}/files. This vulnerability

    open-webuiPython
    • Auf 0.9.0 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  2. CVE-2026-45675

    Hoch · CVSS 8.1EPSS 0,35%Korrektur verfügbar

    Open WebUI: LDAP and OAuth First-User Race Condition Allows Multiple Admin Accounts

    Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.9.0, the LDAP and OAuth authentication flows use a TOCTOU (Time-of-Check-Time-of-Use) pattern for first-user admin role assignment. The regular signup handler (signup_handler in auths.py, line 663) was explicitly patched to prevent this race with the comment "Insert with default role first to avoid TOCTOU race", but the LDAP and OAuth code paths were never updated with the same fix. This vulnerability is fixed in 0.9.0.

    open-webuiPython
    • Auf 0.9.0 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  3. CVE-2025-63681

    Mittel · CVSS 4.3EPSS 0,28%Korrektur verfügbar

    CVE-2025-63681

    open-webui v0.6.33 is vulnerable to Incorrect Access Control. The API /api/tasks/stop/ directly accesses and cancels tasks without verifying user ownership, enabling attackers (a normal user) to stop arbitrary LLM response tasks.

    open-webuiPython
    • Auf 0.9.0 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →