CVE-2026-45387— Open WebUI 模型共享泄露系统提示漏洞
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-45387 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Open WebUI: Sharing models for others to use (read permission) also exposes model details (system prompt leakage)
来源: 美国国家漏洞数据库 NVD
Vulnerability Description
Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.9.5, when setting model permissions so that a group has read access to it, intending for other users to use it, those users also can read the model's system prompt. However users may consider their system prompt confidential, so this is considered a security issue. This vulnerability is fixed in 0.9.5.
来源: 美国国家漏洞数据库 NVD
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
来源: 美国国家漏洞数据库 NVD
Vulnerability Type
信息暴露
来源: 美国国家漏洞数据库 NVD
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| open-webui | open-webui | < 0.9.5 | - |
二、漏洞 CVE-2026-45387 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-45387 的情报信息
请登录查看更多情报信息。
同批安全公告 · open-webui · 2026-05-15 · 共 59 条
| CVE-2026-44551 | 9.1 CRITICAL | Open WebUI LDAP空密码认证绕过漏洞 |
| CVE-2026-45672 | 8.8 HIGH | Open WebUI Jupyter 代码执行漏洞 |
| CVE-2026-45315 | 8.7 HIGH | Open WebUI 存储型XSS漏洞 |
| CVE-2026-44552 | 8.7 HIGH | Open WebUI 缓存键缺少实例前缀致缓存投毒 |
| CVE-2026-45331 | 8.5 HIGH | Open WebUI RAG网页搜索功能完整SSRF漏洞 |
| CVE-2026-45400 | 8.5 HIGH | Open WebUI validate_url函数存在服务器端请求伪造绕过漏洞 |
| CVE-2026-45401 | 8.5 HIGH | Open WebUI SSRF绕过漏洞（HTTP重定向） |
| CVE-2026-44570 | 8.3 HIGH | Open WebUI 记忆 API 权限控制不一致漏洞 |
| CVE-2026-44565 | 8.1 HIGH | Open WebUI 路径遍历致任意文件写入删除漏洞 |
| CVE-2026-44553 | 8.1 HIGH | Open WebUI Socket.IO会话池越权访问漏洞 |
| CVE-2026-45675 | 8.1 HIGH | Open WebUI LDAP/OAuth首用户竞态条件致多管理员漏洞 |
| CVE-2026-44554 | 8.1 HIGH | Open WebUI 知识库破坏及RAG投毒漏洞 |
| CVE-2026-45301 | 8.1 HIGH | Open WebUI 文件 API 权限检查缺失致任意文件操作漏洞 |
| CVE-2026-45665 | 8.1 HIGH | Open WebUI Banner组件存储型XSS漏洞 |
| CVE-2026-45402 | 8.1 HIGH | Open WebUI 因未校验 file_id 导致跨用户文件访问漏洞 |
| CVE-2026-45671 | 8.0 HIGH | Open WebUI shared-chat 分支权限绕过致未授权文件删除 |
| CVE-2026-45338 | 7.7 HIGH | Open WebUI 通过OAuth头像URL的SSRF漏洞 |
| CVE-2026-45303 | 7.7 HIGH | Open WebUI HTML渲染视图存储型XSS漏洞 |
| CVE-2026-44555 | 7.6 HIGH | Open WebUI 模型链绕过访问控制漏洞 |
| CVE-2026-45398 | 7.5 HIGH | Open WebUI 检索API越权访问漏洞 |
显示前 20 条，共 59 条。 查看全部 → →
IV. Related Vulnerabilities
V. Comments for CVE-2026-45387
暂无评论