CVE-2026-44569

Open WebUI, tamamen çevrimdışı çalışacak şekilde tasarlanmış, kendi sunucunuzda barındırabileceğiniz bir yapay zeka platformudur. 0.6.19 sürümünden önce, kanallar mesaj yönetim sisteminde, kimliği doğrulanmış kullanıcıların okuma erişimine sahip oldukları kanallardaki herhangi bir mesajı değiştirmesine veya silmesine olanak tanıyan bir IDOR bulunmaktadır. Zafiyet, kanal düzeyinde yetkilendirme uygulayan ancak mesaj sahipliği doğrulamasından tamamen yoksun olan mesaj güncelleme ve silme uç noktalarında mevcuttur. Ön yüz sahiplik kontrollerini doğru şekilde uygulasa da (düzenleme/silme düğmelerini yalnızca mesaj sahiplerine veya yöneticilere göstererek), arka uç API'leri, istek yapan kullanıcının hedef mesajın sahibi olduğunu doğrulamadan yalnızca kanal erişim izinlerini doğrulayarak bu korumaları atlamaktadır. Bu durum, saldırganların diğer kullanıcıların mesajlarını değiştirmek için doğrudan API'leri çağırabildiği bir istemci tarafı güvenlik kontrolü atlatılmasına yol açmaktadır. Bu zafiyet 0.6.19 sürümünde giderilmiştir.