JVNDB-2026-023266

openwebuiのopen webuiにおける重要な情報を含むキャッシュの使用に関する脆弱性

Open WebUIは、拡張可能で多機能かつユーザーフレンドリーなセルフホスト型のAIプラットフォームです。バージョン0.6.27から0.10.0未満の間、routers/openai.pyおよびrouters/ollama.py内のget_all_modelsハンドラーは、key_builderの代わりにlambda関数をaiocacheのキーとして渡していました。このため、権限でフィルタリングされたユーザーごとのモデルリストが静的なキャッシュエントリを共有しており、TTL期間中にあるユーザーのモデルリストが別の呼び出し元に露出する問題が発生していました。この問題はバージョン0.10.0で修正されています。

openwebui

• open webui 0.6.27 以上 0.10.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Cross-user model-list exposure via static cache key in get_all_models (aiocache key= vs key_builder= misuse)  Advisory  open-webui/open-webui  GitHub

1. 重要な情報を含むキャッシュの使用(CWE-524) [その他]

1. CVE-2026-59213

1. National Vulnerability Database (NVD) : CVE-2026-59213
2. 関連文書 : fix: per-user model cache used static key= (cross-user model exposure) by Classic298  Pull Request #25783  open-webui/open-webui  GitHub
3. 関連文書 : Release v0.10.0  open-webui/open-webui  GitHub
4. 関連文書 : fix: per-user model cache used static key= (cross-user model exposure…  open-webui/open-webui@0fc630b  GitHub

• [2026年07月13日]
    掲載