CVE-2026-34222highCWE-285

CVE-2026-34222: fallo de gravedad alta en open-webui

Open WebUI has Broken Access Control in Tool Valves

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear open-webui+ Monitorear open-webui

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.7epss 5.1%
En resumen

Open WebUI permite que usuarios no autorizados accedan o modifiquen configuraciones de herramientas que deberían estar restringidas solo a administradores. Esto significa que alguien sin permisos adecuados podría cambiar cómo se comportan las herramientas de IA, accediendo potencialmente a datos sensibles o interrumpiendo funciones del sistema.

Detalle técnico

Una vulnerabilidad de control de acceso roto en las válvulas de herramientas (CWE-285) permite que usuarios autenticados o no autenticados eludan verificaciones de autorización y lean/modifiquen configuraciones de herramientas en Open WebUI en versiones anteriores a 0.8.11. La vulnerabilidad afecta el endpoint de gestión de herramientas, permitiendo potencialmente escalada de privilegios o manipulación no autorizada del sistema sin requerir credenciales elevadas.

Resumen generado y traducido por IA a partir de la descripción oficial.
Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to version 0.8.11, there is a broken access control vulnerability in tool values. This issue has been patched in version 0.8.11.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
Productos afectados
open-webui · open-webui
CVEs relacionadas — open-webui

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-64496HIGHOpen WebUI Affected by an External Model Server (Direct Connections) Code Injection via SSE EventsEPSS 7.2%CVE-2025-65958HIGHOpen WebUI vulnerable to Server-Side Request Forgery (SSRF) via Arbitrary URL Processing in /api/v1/retrieval/process/webEPSS 4.7%CVE-2026-28788HIGHOpen WebUI's process_files_batch() endpoint missing ownership check, allows unauthorized file overwriteEPSS 3.0%CVE-2026-44551CRITICALOpen WebUI: LDAP Empty Password Authentication BypassEPSS 1.5%CVE-2026-45397MEDIUMOpen WebUI: Unauthenticated RAG Configuration DisclosureEPSS 0.8%CVE-2026-87011HIGHOpen WebUI: Unauthenticated requests can stall the server via uncached OIDC fetches in back-channel logoutEPSS 0.6%