原文

Open WebUIは、完全にオフラインで動作する自己ホスト型の人工知能プラットフォームです。0.8.6以前の標準チャンネル（すなわちchannel.typeがgroupでもdmでもないチャンネル）において、エンドポイントPOST /api/v1/channels/{channel_id}/messages/{message_id}/updateは読み取り権限のみでアクセス可能でした。access_controlがNoneに設定されている場合、authorizationチェックのhas_access(..., type="read")はTrueと評価され、メッセージの所有者でないユーザーもメッセージを更新できます。その結果、他ユーザーのメッセージが不正に改変される可能性があります。この脆弱性は0.8.6で修正されました。