PT-2026-41200 · Unknown · Open-Webui

Publicado 2026-02-12 · Atualizado 2026-05-17 · CVE-2026-45667

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Open WebUI versões anteriores a 0.8.0

Descrição O endpoint "/api/v1/memories/ef" está acessível sem autenticação e executa a função request.app.state.EMBEDDING FUNCTION(). Isso permite que usuários não autenticados acionem a geração de embeddings, o que pode levar à exposição de custos diretos se um provedor pago for utilizado, bem como ao consumo de recursos de CPU/GPU e possível exaustão do limite de taxa de APIs de embedding externas.

Recomendações Atualize para a versão 0.8.0 ou posterior.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

BDU:2026-07143

CVE-2026-45667

GHSA-M69W-P7M4-585J

Produtos afetados

Open-Webui

Referências · 10

• 🔥 https://github.com/open-webui/open-webui/security/advisories/GHSA-m69w-p7m4-585j · Exploit
• https://github.com/open-webui/open-webui · Nota
• https://github.com/open-webui/open-webui/releases/tag/v0.8.0 · Nota
• https://github.com/open-webui/open-webui/commit/e5035ea31e179977e805a7032c979ff59a71860a · Nota
• https://twitter.com/lyrie_ai/status/2055879200729669636 · Publicação no Twitter
• https://t.me/CVEtracker/53990 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2026-07143 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-m69w-p7m4-585j · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2055457487248060764 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-45667 · Nota de Segurança