JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-009528 Open WebUIは完全にオフラインで動作する自己ホスト型の人工知能プラットフォームです。バージョン0.8.6以前では、音声からテキストへの転写エンドポイントの無検証ファイル名フィールドにより、認証済みの非管理者ユーザーが`FileNotFoundError`を引き起こすことができました。このエラーメッセージにはサーバーの絶対パスである`DATA_DIR`が含まれており、HTTP 400レスポンスボディにそのまま返されるため、すべてのデフォルト展開において情報漏洩が発生します。この問題はバージョン0.8.6で修正されました。 cpe:/a:openwebui:open_webui https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-009528.html Common Vulnerabilities and Exposures (CVE) CVE-2026-28786 https://www.cve.org/CVERecord?id=CVE-2026-28786 National Vulnerability Database (NVD) CVE-2026-28786 https://nvd.nist.gov/vuln/detail/CVE-2026-28786 GitHub Path Traversal (CWE-22) in `POST /api/v1/audio/transcriptions` Advisory open-webui/open-webui GitHub https://github.com/open-webui/open-webui/security/advisories/GHSA-vvxm-vxmr-624h JVNDB CWE-209 http://cwe.mitre.org/data/definitions/209.html JVNDB CWE-22 https://jvndb.jvn.jp/ja/cwe/CWE-22.html 2026-04-01T11:33:25+09:00 2026-04-01T11:33:25+09:00