Git · Open-Webui · CVE-2026-109287
**Nome do Software Vulnerável e Versões Afetadas**
Open WebUI versões 0.9.6 through 0.11.3
**Description**
Existe uma falha de autorização onde a listagem de arquivos da base de conhecimento não verifica se o `directory id` fornecido pertence à base de conhecimento solicitada. Um usuário com acesso de leitura a qualquer base de conhecimento pode fornecer um UUID de diretório estrangeiro retido para o endpoint 'GET /api/v1/knowledge/{id}/files'. As breadcrumbs retornadas expõem nomes de pastas, IDs de usuários proprietários e IDs de bases de conhecimento daquele diretório e de todos os seus ancestrais.
**Recommendations**
Atualize o Open WebUI para a versão 0.11.4 ou posterior.