注目★★★★★GitHub Advisory
Open WebUI、共有フォルダの書き込み権でオーナーのチャット履歴を完全削除される脆弱性
30秒で把握
- 1Open WebUI 0.11.0 未満、フォルダ共有の書き込み権でオーナーチャット削除可能な権限検証漏れ
- 2フォルダ共有機能 (既定無効) を有効化した環境のみ影響・削除は完全かつ不可逆
- 30.11.0 で修正・削除権をオーナー / アドミンに制限・共有フォルダ有効化チームは更新確認
要約
Open WebUI のフォルダ共有機能に権限検証の不備があり、書き込みアクセス権を持つユーザーがオーナーのチャットとメッセージを完全削除できた。削除時にオーナー権限またはアドミン権限を検証せず、共有フォルダの書き込み権がサブフォルダ全体に継承されるため、明示的に共有されていないサブフォルダまで削除対象になった。バージョン 0.11.0 で修正済み、フォルダ削除はオーナーまたはアドミンのみに制限された。フォルダ共有機能は既定で無効のため、この機能を有効化した環境のみ影響を受ける。
あなたへの影響
Open WebUI でフォルダ共有を有効化 (user.permissions.sharing.folders) している場合。
推奨：外部ユーザーへの書き込み権付与時に権限スコープを厳密に確認し、必要に応じて 0.11.0 以上への更新を検討してください。