| Title | openwebuiのopen webuiにおける認証の欠如に関する脆弱性 |
|---|---|
| Summary | Open WebUIは完全にオフラインで動作する自己ホスト型の人工知能プラットフォームです。バージョン0.8.6以前にはチャット完了APIに脆弱性が存在し、攻撃者がツール制限を回避して許可されていない操作やアクセスを可能にする恐れがありました。chat_completion APIでは、tool_idsおよびtool_serversのパラメータがユーザーから提供されます。これらのパラメータはミドルウェアによってtools_dictを作成するために使用され、get_tool_by_idによって適切なツールを取得します。しかし、このAPIを使用するユーザーがそのツールを使用する許可を持っているかどうかを確認するチェックがありません。そのため、ユーザーはchat completion APIを介して正しいtool_idまたはtool_serversパラメータを提供することで任意のサーバーツールを呼び出すことが可能です。さらに、ツールの呼び出し時にはサーバーに保存された認証トークンが使用されるため、ツールはサーバーの特権で呼び出されます。この脆弱性はバージョン0.8.6で修正されました。 |
| Possible impacts | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | May 15, 2026, midnight |
| Registration Date | May 20, 2026, 1:26 p.m. |
| Last Update | May 20, 2026, 1:26 p.m. |
| CVSS3.0 : 重要 | |
| Score | 7.1 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N |
| openwebui |
| open webui 0.8.6 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年05月20日] 掲載 |
May 20, 2026, 1:26 p.m. |
| Summary | Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.8.6, there is a vulnerability in chat completion API, which allows attackers to bypass tool restrictions, potentially enabling unauthorized actions or access. In the chat_completion API, the parameters tool_ids and tool_servers are supplied by the user. These parameters are used to create a tools_dict by the middleware. This is then used by get_tool_by_id to retrieve the appropriate tool. However, there is no checks in that ensures the user that uses the API has permission to use the tool, meaning that a user can invoke any server tool by supplying the correct tool_id or tool_servers parameters via the chat completion API. Moreover, the authentication token stored in the server would be used when invoking the tool, so the tool will be invoked with the server privilege. This vulnerability is fixed in 0.8.6. |
|---|---|
| Publication Date | May 16, 2026, 7:16 a.m. |
| Registration Date | May 17, 2026, 4:13 a.m. |
| Last Update | May 19, 2026, 2:36 a.m. |