CVE-2026-44570

Open WebUI, tamamen çevrimdışı çalışacak şekilde tasarlanmış, kendi sunucunuzda barındırabileceğiniz bir yapay zeka platformudur. 0.6.19 sürümünden önce, memories API ile ilgili yetkilendirme kontrolleri tutarsızdı; bu durum standart bir kullanıcının diğer kullanıcıların bellek içeriklerini silmesine, geri yüklemesine ve görüntülemesine olanak tanıyordu. Mevcut belleği olmayan yeni oluşturulmuş yönetici olmayan bir kullanıcıyla, POST /api/v1/memories/query üzerinden mevcut bellekleri görüntülemek mümkündür. Benzer şekilde, yönetici olmayan bir kullanıcı POST /api/v1/memories/{memory_id}/update aracılığıyla başka bir kullanıcının bellek verilerini değiştiremese bile, geçerli bir memory_id biliniyorsa uç noktanın yanıtı söz konusu belleğin içeriğini uygunsuz bir şekilde sızdırmaktadır. DELETE /api/v1/memories/{memory_id} herhangi bir kullanıcı tarafından mevcut bir belleği silmek için de kullanılabilir. Silinen bellekler daha sonra POST /api/v1/memories/{memory_id}/update uç noktası tekrar çağrılarak geri yüklenebilir. Bu güvenlik açığı 0.6.19 sürümünde giderilmiştir.