Originalbeschreibung
Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. From 0.9.0 until 0.11.1, role synchronization in backend/open_webui/routers/auths.py and backend/open_webui/utils/oauth.py updated an administrator's database role without invalidating the user record cached by backend/open_webui/socket/main.py. An administrator demoted through a trusted role header or OAuth role mapping could keep an already-open Socket.IO connection and continue reading or editing every user's collaborative notes until that connection closed. This issue is fixed in version 0.11.1.
Betroffene Software
- Open-WebUI *≥ 0.9.0 < 0.11.1 Behoben in: 0.11.1 Repository- oder Paket-Übereinstimmung
Details
- Veröffentlicht
- 2026-09-09
- Zuletzt geändert
- 2026-09-15
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N- CWE
- CWE-613, CWE-863
Referenzen
Verfolgen Sie diese Versionen auf Ihren eigenen Servern
InfraGuard erfasst die installierten Softwareversionen auf jedem Server und markiert diejenigen mit bekannten Schwachstellen. Self-Hosted – nichts verlässt Ihr Netzwerk.
Dieses Produkt verwendet Daten der NVD-API, ist jedoch nicht von der NVD empfohlen oder zertifiziert. CVE® ist eine eingetragene Marke von The MITRE Corporation; CVE-Datensätze werden gemäß den Nutzungsbedingungen des CVE Program verwendet.