CVE-2026-44571

Nome do Software Vulnerável e Versões Afetadas Open WebUI versões anteriores a 0.8.6

Description Em canais padrão (onde channel.type não é group nem dm), o endpoint "POST /api/v1/channels/{channel id}/messages/{message id}/update" pode ser acessado apenas com permissão de leitura. Quando access control está definido como None, a verificação de autorização has access(..., type="read") é avaliada como True, permitindo que usuários autenticados que não sejam os proprietários da mensagem a atualizem. Isso possibilita a modificação não autorizada de mensagens de outros usuários.

Recommendations Atualize para a versão 0.8.6.