Vulnérabilité dans open-webui (CVE-2026-87014)
Résumé
Vulnérabilité dans open-webui (CVE-2026-87014). Des informations confidentielles peuvent être exposées. Exploitable via WEBUI_AUTH_TRUSTED_ROLE_HEADER. Atténuation : mise à jour vers 0.11.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
A user who is demoted from admin by an identity provider keeps admin-level read and write access to every user's notes, over any Socket.IO connection that was already open when the demotion happened. Open WebUI caches the user's role on the socket at connection time, and the two SSO role-sync paths, the reverse-proxy trusted role header and OAuth role mapping, changed the role in the database without tearing that cached session down. Only the admin user-management endpoints invalidated sessions, so a demotion driven by the identity provider left the old privileges live on the socket.
Preconditions
A role-sync SSO mode has to be enabled. Either trusted-header authentication with WEBUI_AUTH_TRUSTED_ROLE_HEADER set, which is unset by default, or OAuth with role mapping enabled, which is off by default. Deployments that change roles only through the admin panel are not affected, because that path already invalidated the user's sockets.
The account has to be an admin at the moment it opens a Socket.IO connection, has to keep that connection open across the demotion, and has to be demoted through the SSO path rather than through the admin panel. Signing out, reloading the page, or any network interruption ends the exposure, because the reconnect reads a fresh role from the database.
Impact
Until the socket closes, the demoted account can open and edit any user's note through the collaborative-notes socket handlers, which grant admins access to every note. T…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-87014 a été découverte dans open-webui.
Des attaquants peuvent cibler un point d'entrée spécifique comme WEBUI_AUTH_TRUSTED_ROLE_HEADER à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 6.5/10.
Action : mettez à jour open-webui vers 0.11.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « open-webui CVE-2026-87014 » sur le site de l'éditeur.
CVE-2026-87014 (open-webui) — CWE-613 / CVSS v3 6.5
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : WEBUI_AUTH_TRUSTED_ROLE_HEADER / ce3c175e260709f359d7e6cbb3132f0572098b95 / user
Correctif : 0.11.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-613) affecte open-webui. Les attaquants atteignent le code vulnérable via WEBUI_AUTH_TRUSTED_ROLE_HEADER.
Consultez l'avis de l'éditeur pour les versions affectées de open-webui. Surface d'attaque : WEBUI_AUTH_TRUSTED_ROLE_HEADER / ce3c175e260709f359d7e6cbb3132f0572098b95 / user.
Gravité : Moyenne (CVSS 6.5/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers 0.11.1.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'open-webui' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
open-webuiを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade open-webui to 0.11.1ステージング環境で 0.11.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- package pypi.org
- web github.com
- web github.com
- web github.com