CVE-2026-45314 in Open WebUI
الملخص
بحسب VulDB • 23/05/2026
Open WebUI هو منصة ذكاء اصطناعي مستضافة ذاتيًا مصممة للعمل بالكامل دون اتصال بالإنترنت. قبل الإصدار 0.9.3، يقبل تدفق إنشاء/تحديث قناة الويبكيب (webhook) قيمًا عشوائية لـ `profile_image_url`، بما في ذلك حمولات مثل `data:image/svg+xml;base64,...`. يقوم نقطة نهاية صورة الملف الشخصي بعد ذلك بفك تشفير وعرض ملف SVG هذا بصيغة `image/svg+xml` دون أي تنقية (sanitization)، مما يسمح بتنفيذ معالجات سكريبت خاضعة لسيطرة المهاجم (مثل `onload`) عند فتح عنوان URL لصورة الملف الشخصي في المتصفح. تم إصلاح هذا الثغرة في الإصدار 0.9.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.