JVNDB-2026-016362

openwebuiのopen webuiにおけるユーザ制御の鍵による認証回避に関する脆弱性

Open WebUIは完全にオフラインで動作する自己ホスト型の人工知能プラットフォームです。バージョン0.6.19より前では、メモリーズAPIに対する認可制御が一貫しておらず、標準ユーザーが他のユーザーのメモリを削除、復元、および内容を閲覧できる状態でした。既存のメモリを持たない新規作成の非管理者ユーザーを使用すると、POST /api/v1/memories/query経由で既存のメモリを閲覧可能でした。同様に、非管理者ユーザーがPOST /api/v1/memories/{memory_id}/updateを介して他ユーザーのメモリデータを変更できなくても、有効なmemory_idが判明している場合、このエンドポイントのレスポンスは該当メモリの内容を不適切に漏洩しました。DELETE /api/v1/memories/{memory_id}はどのユーザーでも既存のメモリを削除するために利用可能であり、削除されたメモリはPOST /api/v1/memories/{memory_id}/updateエンドポイントを再度呼び出すことで復元できました。この脆弱性はバージョン0.6.19で修正されています。

openwebui

• open webui 0.6.19 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Inconsistent authorization controls within memories API  Advisory  open-webui/open-webui  GitHub

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-44570

1. National Vulnerability Database (NVD) : CVE-2026-44570

• [2026年05月20日]
    掲載