JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-016367 Open WebUIは完全にオフラインで動作する自己ホスト型の人工知能プラットフォームです。バージョン0.9.0以前では、is_user_channel_member関数がChannelMember行の存在を確認しますが、is_activeフィールドを確認していませんでした。ユーザーがグループまたはDMチャンネルから非アクティブ化されると（チャンネル所有者によって削除されるか、ユーザー自身が退会した場合）、そのメンバーシップ行はis_active=Falseおよびstatus='left'のまま残ります。認可チェックがこのフィールドを無視するため、非アクティブ化されたユーザーは直接のAPI呼び出しを通じてチャンネルへの完全な読み書きアクセス権を保持してしまいます。この脆弱性はバージョン0.9.0で修正されました。 cpe:/a:openwebui:open_webui https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-016367.html Common Vulnerabilities and Exposures (CVE) CVE-2026-44561 https://www.cve.org/CVERecord?id=CVE-2026-44561 National Vulnerability Database (NVD) CVE-2026-44561 https://nvd.nist.gov/vuln/detail/CVE-2026-44561 GitHub Deactivated Channel Members Retain Full Access to Group/DM Channels Advisory open-webui/open-webui GitHub https://github.com/open-webui/open-webui/security/advisories/GHSA-hmgr-67hw-j2cq JVNDB CWE-863 https://cwe.mitre.org/data/definitions/863.html 2026-05-20T13:27:37+09:00 2026-05-20T13:27:37+09:00