CVE-2026-59213
Publiée le 2026-07-09 · Dernière modification le 2026-07-10
Les installations auto-hébergées d'Open WebUI (versions 0.6.27 à 0.9.x) sont affectées par une erreur de mise en cache qui peut entraîner la fuite de listes de modèles d'IA disponibles entre différents utilisateurs. Un attaquant authentifié disposant de privilèges de bas niveau pourrait potentiellement voir auxquels modèles un autre utilisateur a accès, bien que le déclenchement de cette faille nécessite un timing spécifique et soit complexe à mettre en œuvre. L'exploitation nécessite un accès réseau et un compte valide, mais elle ne peut pas être utilisée pour modifier des données ou obtenir un contrôle administratif.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. From 0.6.27 before 0.10.0, get_all_models handlers in routers/openai.py and routers/ollama.py passed a lambda to aiocache key instead of key_builder, causing permission-filtered per-user model lists to share a static cache entry and exposing one user’s model list to another caller during the TTL window. This issue is fixed in version 0.10.0.