CVE-2026-109289 in Open WebUI
Zusammenfassung
von VulDB • 12.10.2026
Open WebUI ab der Version 0.8.8 bis vor 0.11.4 enthält eine Schwachstelle mit unzureichender Autorisierung (Improper Authorization), die es deaktivierten Benutzern ermöglicht, Terminalbefehle über ein bereits geöffnetes WebSocket-Terminal weiter auszuführen. Da die Proxy-Route für das Terminal in `terminals.py` den Zugriff nur bei der ersten Nachricht überprüft, können deaktivierte Benutzer weiterhin Befehle ausführen sowie Dateien auf dem Terminalservers lesen oder schreiben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.