原文

Open WebUIは完全にオフラインで動作する自己ホスト型の人工知能プラットフォームです。バージョン0.6.19より前では、メモリーズAPIに対する認可制御が一貫しておらず、標準ユーザーが他のユーザーのメモリを削除、復元、および内容を閲覧できる状態でした。既存のメモリを持たない新規作成の非管理者ユーザーを使用すると、POST /api/v1/memories/query経由で既存のメモリを閲覧可能でした。同様に、非管理者ユーザーがPOST /api/v1/memories/{memory_id}/updateを介して他ユーザーのメモリデータを変更できなくても、有効なmemory_idが判明している場合、このエンドポイントのレスポンスは該当メモリの内容を不適切に漏洩しました。DELETE /api/v1/memories/{memory_id}はどのユーザーでも既存のメモリを削除するために利用可能であり、削除されたメモリはPOST /api/v1/memories/{memory_id}/updateエンドポイントを再度呼び出すことで復元できました。この脆弱性はバージョン0.6.19で修正されています。