Open WebUI has Broken Access Control in Tool Valves

O Open WebUI permite que usuários não autorizados acessem ou modifiquem configurações de ferramentas que deveriam ser restritas apenas a administradores. Isso significa que alguém sem as permissões adequadas poderia alterar como as ferramentas de IA funcionam, potencialmente acessando dados sensíveis ou prejudicando o sistema.

Uma falha de controle de acesso quebrado nas válvulas de ferramentas (CWE-285) permite que usuários autenticados ou não autenticados contornem verificações de autorização e leiam/modifiquem configurações de ferramentas no Open WebUI em versões anteriores à 0.8.11. A vulnerabilidade afeta o endpoint de gerenciamento de ferramentas, permitindo potencialmente escalonamento de privilégios ou manipulação não autorizada do sistema sem exigir credenciais elevadas.