JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-016371 Open WebUIは完全にオフラインで動作するように設計されたセルフホスト型の人工知能プラットフォームです。バージョン0.9.0以前では、_validate_collection_access関数が不完全な許可リストを使用しており、user-memory-*およびfile-*パターンに一致するコレクションに対してのみ所有権チェックを強制していました。他のすべてのコレクション名はチェックされずに通過しており、インスタンス上のすべての知識ベースのID、名前、および説明を保存するシステムレベルのknowledge-basesメタコレクションも含まれています。認証された任意のユーザーは、このメタコレクションをリトリーバルクエリエンドポイント経由で直接照会でき、すべてのユーザーにわたる全知識ベースのグローバルインデックスを取得できます。この脆弱性はバージョン0.9.0で修正されました。 cpe:/a:openwebui:open_webui https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-016371.html Common Vulnerabilities and Exposures (CVE) CVE-2026-44557 https://www.cve.org/CVERecord?id=CVE-2026-44557 National Vulnerability Database (NVD) CVE-2026-44557 https://nvd.nist.gov/vuln/detail/CVE-2026-44557 GitHub Global Knowledge Base Enumeration via knowledge-bases Meta-Collection Advisory open-webui/open-webui GitHub https://github.com/open-webui/open-webui/security/advisories/GHSA-6c2x-gcp3-gp73 JVNDB CWE-863 https://cwe.mitre.org/data/definitions/863.html 2026-05-20T13:27:49+09:00 2026-05-20T13:27:49+09:00