原文

Open WebUIは完全にオフラインで動作するよう設計されたセルフホスト型の人工知能プラットフォームです。0.9.0以前のバージョンでは、POST /api/v1/retrieval/process/web エンドポイントがユーザー提供のcollection_nameおよびoverwriteクエリパラメータ（デフォルト：True）を受け入れていました。このエンドポイントは、呼び出しユーザーが対象のコレクションを所有しているか、または書き込みアクセス権を持っているかどうかの認可チェックを一切行いませんでした。overwrite=Trueの場合、save_docs_to_vector_dbは新しい内容を書き込む前にVECTOR_DB_CLIENT.delete_collection()を対象コレクションに対して呼び出していました。この脆弱性は0.9.0で修正されました。