CVE-2026-44567

Nome do Software Vulnerável e Versões Afetadas Open WebUI versões anteriores a 0.1.124

Descrição Existe um controle de autorização inadequado onde a API não valida se o usuário possui a função autorizada de user ou admin. Quando a plataforma é configurada para permitir novos cadastros, as novas contas recebem por padrão a função pending, o que deveria restringir o acesso ao aplicativo web até que um administrador aprove a conta. No entanto, essa restrição é aplicada apenas na camada de apresentação do cliente. Um invasor pode usar um JSON Web Token (JWT) obtido durante o cadastro para fazer chamadas de API autenticadas, ignorando as restrições pretendidas. Por exemplo, o endpoint /ollama/api/tags pode ser acessado por um usuário com a função pending. O problema decorre da função get current user(), que apenas verifica a validade do JWT sem checar a função do usuário associada.

Recomendações Atualize para a versão 0.1.124. Como mitigação temporária, modifique todos os endpoints autenticados para utilizar a função get verified user() em vez de get current user() para garantir que a função do usuário seja devidamente validada.