CVE-2026-44569

Open WebUI tamamilə oflayn rejimdə işləmək üçün hazırlanmış özünə məxsus (self-hosted) süni intellekt platformasıdır. 0.6.19 versiyasından əvvəl kanalların mesaj idarəetmə sistemində autentifikasiya olunmuş istifadəçilərə oxuma icazəsinə malik olduqları kanallardakı hər hansı mesajı dəyişdirməyə və ya silməyə imkan verən IDOR boşluğu mövcuddur. Zəiflik, kanal səviyyəsində avtorizasiyanı tətbiq edən lakin mesajın mülkiyyət hüququnun yoxlanılmasını tamamilə ötürən mesaj yeniləmə və silmə son nöqtələrində (endpoints) mövcuddur. Frontend hissəsi mülkiyyət yoxlamalarını düzgün şəkildə tətbiq etsə də (redaktə/sil düymələri yalnız mesaj sahiblərinə və ya adminlərə göstərilir), backend API-ləri sorğu göndərən istifadəçinin hədəf mesajın sahibi olduğunu təsdiqləmədən yalnız kanal giriş icazələrini yoxlayaraq bu mühafizə vasitələrini yan keçir. Bu, hücumların birbaşa API-ləri çağıraraq digər istifadəçilərin mesajlarını dəyişdirə biləcəyi klient tərəfli təhlükəsizlik nəzarətinin yan keçilməsinə səbəb olur. Bu zəiflik 0.6.19 versiyasında aradan qaldırılmışdır.