CVE-2026-109283

اسم البرنامج المصاب والإصدارات المتأثرة Open WebUI الإصدارات من 0.11.1 إلى 0.11.3

Description يوجد تجاوز للصلاحيات في عملية تبادل رموز OAuth. يقوم النظام بقراءة مطالبات الأدوار حصرياً من استجابة معلومات المستخدم (userinfo) الخاصة بالمزود ويحتفظ بدور المستخدم الحالي في حال عدم العثور على مطالبة أدوار، مع تجاهل الأدوار المرسلة فقط في رمز التعريف (ID token). يتيح ذلك للمستخدمين الذين لديهم حسابات مرتبطة ولم تعد أدوارهم في مزود الهوية تستوفي سياسة أدوار OAuth الاحتفاظ بدورهم السابق عن طريق إرسال رمز وصول صالح من المزود إلى نقطة النهاية 'POST /api/v1/auths/oauth/{provider}/token/exchange'.

Recommendations تحديث Open WebUI إلى الإصدار 0.11.4 أو إصدار أحدث.