FICHE CVE

CVE-2026-44567

Publiée le 2026-05-15 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations auto-hébergées d'Open WebUI antérieures à la version 0.1.124 sont concernées. Un attaquant distant non authentifié peut contourner la validation des rôles pour obtenir un accès limité au système, ce qui pourrait lui permettre de lire ou de modifier des données auxquelles il ne devrait pas avoir accès. Cette opération est facile à exécuter car elle ne nécessite aucun privilège spécial, aucune interaction de l'utilisateur, et peut être effectuée via le réseau.

CVSS 3.17.3 ÉLEVÉE

Type de faiblesse

CWE-602 Autorisation incorrecte · CWE-863

Publiée2026-05-15

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéFaible

RÉFÉRENCES

Description officielle du NVD (en anglais)

Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.1.124, the API does not properly validate that the user has an authorized user role of user. By default, when Open WebUI is configured with new sign-ups enabled, the default user role is set to pending. In this configuration, an administrator is required to go into the Admin management panel following a new user registration and reconfigure the user to have a role of either user or admin before that user is able to access the web application. This vulnerability is fixed in 0.1.124.