JVNDB-2026-016376

openwebuiのopen webuiにおける誤った領域へのリソースの漏えいに関する脆弱性

Open WebUIは、完全にオフラインで動作するよう設計されたセルフホスト型の人工知能プラットフォームです。バージョン0.9.0以前では、utils/tools.pyのtool_serversおよびterminal_serversキーにプレフィックスが使用されていませんでした。複数のOpen WebUIインスタンスがRedisデータベースを共有する場合（複数地域展開やブルーグリーン展開、クラスタトポロジーなどのサポートされ文書化された展開パターン）では、プレフィックスのないキーが競合します。インスタンスAの管理者がtool_serversに書き込むと、インスタンスBが読み取る値が上書きされ、インスタンスBのユーザーはインスタンスAのツールサーバ構成を受け取ってしまいます。この脆弱性はバージョン0.9.0で修正されました。

openwebui

• open webui 0.9.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Redis Cache Keys tool_servers and terminal_servers Missing Instance Prefix Enable Cross-Instance Cache Poisoning  Advisory  open-webui/open-webui  GitHub

1. 誤った領域へのリソースの漏えい(CWE-668) [その他]

1. CVE-2026-44552

1. National Vulnerability Database (NVD) : CVE-2026-44552

• [2026年05月20日]
    掲載