JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-016350 Open WebUIは完全にオフラインで動作するよう設計されたセルフホスト型の人工知能プラットフォームです。バージョン0.9.0以前では、backend/open_webui/retrieval/web/utils.py内のvalidate_url()関数がvalidators.ipv6(ip, private=True)を呼び出していましたが、validatorsライブラリはIPv6に対してprivateキーワードを実装していません。そのため、この呼び出しはValidationErrorを発生させます（これはブール文脈では偽とみなされるため）、IPv6アドレスはすべてフィルターを通過してしまいます。さらに、IPv4マップドIPv6アドレス(::ffff:10.0.0.1)はIPv4チェックを完全に回避し、いくつかの予約済みIPv4範囲(0.0.0.0/8、100.64.0.0/10、192.0.0.0/24など)もブロックされませんでした。この脆弱性はバージョン0.9.0で修正されました。 cpe:/a:openwebui:open_webui https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-016350.html Common Vulnerabilities and Exposures (CVE) CVE-2026-45331 https://www.cve.org/CVERecord?id=CVE-2026-45331 National Vulnerability Database (NVD) CVE-2026-45331 https://nvd.nist.gov/vuln/detail/CVE-2026-45331 GitHub Full SSRF Vulnerability in the RAG Web Search Feature Advisory open-webui/open-webui GitHub https://github.com/open-webui/open-webui/security/advisories/GHSA-4v7r-f4w8-8972 JVNDB CWE-918 https://cwe.mitre.org/data/definitions/918.html 2026-05-20T13:26:42+09:00 2026-05-20T13:26:42+09:00