PT-2026-67859 · Unknown · Open-Webui

CVE-2026-70491

·

Publicado

2026-08-04

·

Atualizado

2026-08-10

CVSS v3.1

6.5

Média

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Nome do Software Vulnerável e Versões Afetadas Open WebUI versões anteriores a 0.11.0
Description Usuários autenticados não administradores com acesso apenas de leitura podem obter o código-fonte Python completo de ferramentas do lado do servidor compartilhadas com eles. Isso ocorre porque os modelos de resposta permitiam campos extras, permitindo que dados de origem omitidos fossem readmitidos e serializados na resposta. Essa exposição pode levar à divulgação de informações sensíveis comumente incorporadas no código-fonte da ferramenta, como chaves de API codificadas, credenciais e URLs de serviços internos.
O problema afeta os seguintes endpoints de API:
  • '/api/v1/tools/'
  • '/api/v1/tools/list'
  • '/api/v1/tools/id/{id}'
Recommendations Atualize o Open WebUI para a versão 0.11.0.

Exploit

Correção

Information Disclosure

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2026-70491
GHSA-3R7G-Q6CG-Q2VX
PYSEC-2026-3639

Produtos afetados

Open-Webui