CVE-2026-45666— Open WebUI 用户笔记间接对象引用漏洞
可能的 ATT&CK 技术 1AI
T1530 · Data from Cloud Storage影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| open-webui | open-webui | < 0.8.11 | affected |
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-45666 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Open WebUI: Indirect Object Reference (IDOR) in user notes
来源: 美国国家漏洞数据库 NVD
Vulnerability Description
Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.8.11, the API /api/v1/notes/{note_id} endpoint lacks proper authorization checks, allowing authenticated users to retrieve notes belonging to other users by guessing or enumerating UUIDs. This results in unauthorized disclosure of potentially sensitive or private user data. This vulnerability is fixed in 0.8.11.
来源: 美国国家漏洞数据库 NVD
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
来源: 美国国家漏洞数据库 NVD
Vulnerability Type
通过用户控制密钥绕过授权机制
来源: 美国国家漏洞数据库 NVD
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| open-webui | open-webui | < 0.8.11 | - |
二、漏洞 CVE-2026-45666 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-45666 的情报信息
请登录查看更多情报信息。
同批安全公告 · open-webui · 2026-05-15 · 共 59 条
| CVE-2026-44551 | 9.1 CRITICAL | Open WebUI LDAP空密码认证绕过漏洞 |
| CVE-2026-45672 | 8.8 HIGH | Open WebUI Jupyter 代码执行漏洞 |
| CVE-2026-44552 | 8.7 HIGH | Open WebUI 缓存键缺少实例前缀致缓存投毒 |
| CVE-2026-45315 | 8.7 HIGH | Open WebUI 存储型XSS漏洞 |
| CVE-2026-45331 | 8.5 HIGH | Open WebUI RAG网页搜索功能完整SSRF漏洞 |
| CVE-2026-45400 | 8.5 HIGH | Open WebUI validate_url函数存在服务器端请求伪造绕过漏洞 |
| CVE-2026-45401 | 8.5 HIGH | Open WebUI SSRF绕过漏洞（HTTP重定向） |
| CVE-2026-44570 | 8.3 HIGH | Open WebUI 记忆 API 权限控制不一致漏洞 |
| CVE-2026-45665 | 8.1 HIGH | Open WebUI Banner组件存储型XSS漏洞 |
| CVE-2026-44553 | 8.1 HIGH | Open WebUI Socket.IO会话池越权访问漏洞 |
| CVE-2026-44565 | 8.1 HIGH | Open WebUI 路径遍历致任意文件写入删除漏洞 |
| CVE-2026-45675 | 8.1 HIGH | Open WebUI LDAP/OAuth首用户竞态条件致多管理员漏洞 |
| CVE-2026-45402 | 8.1 HIGH | Open WebUI 因未校验 file_id 导致跨用户文件访问漏洞 |
| CVE-2026-44554 | 8.1 HIGH | Open WebUI 知识库破坏及RAG投毒漏洞 |
| CVE-2026-45301 | 8.1 HIGH | Open WebUI 文件 API 权限检查缺失致任意文件操作漏洞 |
| CVE-2026-45671 | 8.0 HIGH | Open WebUI shared-chat 分支权限绕过致未授权文件删除 |
| CVE-2026-45338 | 7.7 HIGH | Open WebUI 通过OAuth头像URL的SSRF漏洞 |
| CVE-2026-45303 | 7.7 HIGH | Open WebUI HTML渲染视图存储型XSS漏洞 |
| CVE-2026-44555 | 7.6 HIGH | Open WebUI 模型链绕过访问控制漏洞 |
| CVE-2026-45398 | 7.5 HIGH | Open WebUI 检索API越权访问漏洞 |
显示前 20 条，共 59 条。 查看全部 → →
IV. Related Vulnerabilities
V. Comments for CVE-2026-45666
暂无评论