CVE-2026-109287

Nome do Software Vulnerável e Versões Afetadas Open WebUI versões 0.9.6 through 0.11.3

Description Existe uma falha de autorização onde a listagem de arquivos da base de conhecimento não verifica se o directory id fornecido pertence à base de conhecimento solicitada. Um usuário com acesso de leitura a qualquer base de conhecimento pode fornecer um UUID de diretório estrangeiro retido para o endpoint 'GET /api/v1/knowledge/{id}/files'. As breadcrumbs retornadas expõem nomes de pastas, IDs de usuários proprietários e IDs de bases de conhecimento daquele diretório e de todos os seus ancestrais.

Recommendations Atualize o Open WebUI para a versão 0.11.4 ou posterior.