Hwwg

**Nome do Software Vulnerável e Versões Afetadas** Open WebUI versões anteriores a 0.9.6 **Description** O Open WebUI contém um problema de Broken Object Level Authorization (BOLA) na função integrada `search knowledge files()`. BOLA ocorre quando uma aplicação não verifica adequadamente se um usuário tem permissão para acessar um objeto específico através do seu ID. Quando a chamada de função nativa está habilitada e o modelo selecionado não possui bases de conhecimento anexadas, um usuário autenticado pode fornecer uma variável `knowledge id` arbitrária para a função `search knowledge files()`. O sistema então retorna metadados de arquivos dessa base de conhecimento sem verificar se o usuário possui a permissão de leitura necessária, permitindo a enumeração não autorizada de arquivos de bases de conhecimento privadas ou restritas. **Recommendations** Atualize para a versão 0.9.6. Como medida paliativa temporária, restrinja o uso da função `search knowledge files()` ou desabilite a chamada de função nativa até que a atualização seja aplicada.