Количество 3
Количество 3
CVE-2026-44554
Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.9.0, the POST /api/v1/retrieval/process/web endpoint accepts a user-supplied collection_name and an overwrite query parameter (default: True). It performs no authorization check on whether the calling user owns or has write access to the target collection. When overwrite=True, save_docs_to_vector_db calls VECTOR_DB_CLIENT.delete_collection() on the target collection before writing new content. This vulnerability is fixed in 0.9.0.
GHSA-7r82-qhg4-6wvj
Open WebUI has Knowledge Base Destruction and RAG Poisoning via Unauthorized Collection Overwrite
BDU:2026-09666
Уязвимость веб-интерфейса на базе искусственного интеллекта Open WebUI, связанная с отсутствием авторизации, позволяющая нарушителю получить доступ на чтение, изменение и удаление данных
Уязвимостей на страницу
Уязвимость | CVSS | EPSS | Опубликовано | |
|---|---|---|---|---|
 | CVE-2026-44554 Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.9.0, the POST /api/v1/retrieval/process/web endpoint accepts a user-supplied collection_name and an overwrite query parameter (default: True). It performs no authorization check on whether the calling user owns or has write access to the target collection. When overwrite=True, save_docs_to_vector_db calls VECTOR_DB_CLIENT.delete_collection() on the target collection before writing new content. This vulnerability is fixed in 0.9.0. | CVSS3: 8.1 | 0% Низкий | 3 месяца назад |
| GHSA-7r82-qhg4-6wvj Open WebUI has Knowledge Base Destruction and RAG Poisoning via Unauthorized Collection Overwrite | CVSS3: 8.1 | 0% Низкий | 3 месяца назад |
 | BDU:2026-09666 Уязвимость веб-интерфейса на базе искусственного интеллекта Open WebUI, связанная с отсутствием авторизации, позволяющая нарушителю получить доступ на чтение, изменение и удаление данных | CVSS3: 8.1 | 0% Низкий | 3 месяца назад |
Уязвимостей на страницу