CVE-2026-87998

Nome do Software Vulnerável e Versões Afetadas Open WebUI versões 0.10.0 through 0.11.0

Description Existe um problema no manipulador de exclusão de base de conhecimento onde um usuário não administrador com acesso de escrita a uma base de conhecimento externa pode excluir a configuração compartilhada da instância. Isso ocorre porque o sistema autoriza a exclusão da base de conhecimento, mas falha em realizar uma verificação de administrador separada ou verificar se outras bases de conhecimento dependem da mesma conexão externa antes de removê-la. Isso afeta implantações que utilizam provedores externos como qdrant, milvus ou pgvector.

Um invasor pode explorar isso enviando uma requisição para o endpoint DELETE /api/v1/knowledge/{id}/delete. Ao visar uma base de conhecimento na qual possui acesso de escrita, ele pode apagar a configuração de conexão compartilhada, tornando todas as outras bases de conhecimento vinculadas a essa conexão indisponíveis. Isso resulta em uma negação de serviço para essas bases de conhecimento, pois as tentativas de recuperação falharão com o erro "External knowledge connection not found".

Recommendations Atualize o Open WebUI para a versão 0.11.1.