CVE-2026-45339

Nome do Software Vulnerável e Versões Afetadas Open WebUI versões anteriores a 0.9.0

Descrição Existe um problema onde as restrições de administradores ao acesso de endpoints de API podem ser ignoradas. Enquanto requisições que utilizam o cabeçalho Authorization: Bearer são corretamente bloqueadas quando restringidas ao endpoint '/api/v1/messages', o fornecimento da mesma chave de API através do cabeçalho x-api-key permite que a requisição seja autenticada e processada. Isso ocorre porque a verificação de restrição de endpoint é aplicada apenas a chaves apresentadas via cabeçalho Authorization, enquanto o cabeçalho x-api-key, utilizado para caminhos de API compatíveis com Anthropic, ignora essa verificação, permanecendo válido para autenticação. Consequentemente, qualquer chave de API pode acessar qualquer endpoint, independentemente de suas restrições configuradas.

Recomendações Atualizar para a versão 0.9.0.