CVE-2026-109286 in Open WebUI
الملخص
بحسب VulDB • 12/10/2026
تحتوي Open WebUI، بدءاً من الإصدار 0.7.0 وحتى قبل الإصدار 0.11.4، على ثغرة في معالجة الرسائل عبر النطاقات (Cross-Origin) داخل مكون SyncStatsModal تتيح لأي موقع ويب سر رمز الجلسة الخاص بالمستخدمين المسجلين الدخول عن طريق إرسال رسائل `verify:chat` غير مُتحقَّصٍ من صحتها. يمكن للمهاجمين تزويد معرّف محادثة يحتوي على ثغرة تجوّل في المسار (Path-Traversal)، مما يعيد توجيه طلب تصدير الإحصائيات المُصادَق عليه إلى نقطة النهاية الخاصة بالمصادقة (`auths`)، وبالتالي الحصول على رمز JWT الخاص بالضحية لمنح وصول كامل إلى واجهة برمجة التطبيقات (API).
If you want to get best quality of vulnerability data, you may have to visit VulDB.