原文

Open WebUIは完全にオフラインで動作する自己ホスト型の人工知能プラットフォームです。バージョン0.9.0以前では、is_user_channel_member関数がChannelMember行の存在を確認しますが、is_activeフィールドを確認していませんでした。ユーザーがグループまたはDMチャンネルから非アクティブ化されると（チャンネル所有者によって削除されるか、ユーザー自身が退会した場合）、そのメンバーシップ行はis_active=Falseおよびstatus='left'のまま残ります。認可チェックがこのフィールドを無視するため、非アクティブ化されたユーザーは直接のAPI呼び出しを通じてチャンネルへの完全な読み書きアクセス権を保持してしまいます。この脆弱性はバージョン0.9.0で修正されました。