CVE-2026-87016 Open WebUI SQLite OAuth脆弱性により管理者アクセス可能
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
SQLiteを使用するOpen WebUIのバージョン（0.6.41から0.11.1まで）において、OAuthサブジェクトにパーセント記号やアンダースコアなどのワイルドカード文字が含まれている場合、SQLのLIKE演算子によるサブストリングマッチングにより、意図しない管理者アカウントが選択される可能性があります。これにより、攻撃者がそのアカウントのセッションを取得し、管理者としてのアクセスを不正に得られるリスクがあります。CVSSスコア8.1の高深刻度の脆弱性で、認証およびアクセス制御に影響を与える可能性があります。セッションの不正取得により、管理者権限の不正利用や機密情報の漏洩、システム設定の変更など、運用管理に重大な影響を及ぼす可能性があります。PostgreSQLは影響を受けません。運用環境でSQLiteを採用している場合、0.11.1へのアップグレードを確認し、現行バージョンが対象範囲内かを確認してください。Open WebUIのバックエンドでユーザー認証を行う関数が影響を受けるため、認証プロセスの信頼性が脅かされる可能性があります。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性は「信頼」の概念にどのような問いを投げかけているだろう？OAuthサブジェクトの文字がシステムに悪影響を与えるという点に注目するが、この信頼はどのように構築されるべきか？
それは重要な問いだが、まずは現実の確認が先ではないか？運用環境でSQLiteを採用しているか、Open WebUIのバージョンが0.6.41から0.11.1の範囲内かを確認すべきだ。CVSSスコア8.1という高深刻度の脆弱性である以上、まずは影響範囲の特定が不可欠である。
しかし、この問題は「システムの設計が人間の誤解を許容する」という倫理的問題ではないか？LIKE演算子の設計が、不正な利用を可能にしているという点に着目すべきではないか？
設計の限界は確かに議論の余地があるが、現場では「今、何ができるか」が優先だ。パッチ適用が0.11.1で解決済みである以上、そのバージョンへのアップグレードを即座に実施すべきである。変更管理プロセスに沿って、テスト環境での確認と本番への適用を段階的に進めなければならない。
では、この脆弱性が「監視」の重要性を教えてくれるのではないだろうか？セッションの不正取得が発生した場合、どうやって検知できるのか？
監視の観点では、認証ログやセッションの異常なアクセスパターンを監視する仕組みの導入が重要だ。また、ベンダー（Open WebUIの開発チーム）が提供する情報確認を怠ると、パッチ適用のタイミングが遅れるリスクがある。NVDのリンクを確認し、公式なアップグレードガイドに従うことが肝要である。
では、この脆弱性は「運用者の責任」を問うているのか？
責任は問われているが、それは「確認作業を怠らないこと」に集約される。影響調査、パッチ適用、変更管理、監視、ベンダー情報確認——これらを怠らないことが、運用者の倫理的な義務でもあるだろう。ただ、それらは「システムの信頼性を守るための実践」に過ぎず、哲学的な問いに答えられるほどではない。少しくらいのユーモアを許してほしい。例えば、SQLiteを採用している場合、PostgreSQLが影響を受けないという点に安心感を持ちすぎないことも、運用者の成熟ぶりだ。
関連キーワード: postgresql