CVE-2026-109290 in Open WebUI
Zusammenfassung
von VulDB • 12.10.2026
Open WebUI, ab der Version 0.11.4 (vorherige Versionen bis einschließlich 0.11.3), enthält eine gespeiste Cross-Site-Scripting-Vulnerability (Stored XSS) in DocxPreview.svelte, die es authentifizierten Benutzern ermöglicht, Skripte auszuführen, indem sie manipulierte DOCX-Anhänge hochladen. Angreifer können einen OOXML altChunk HTML-Abschnitt oder einen Hyperlink mit script-Schema einbetten, um das Sitzungstoken eines Administrators, der eine Vorschau betrachtet, aus dem lokalen Speicher zu stehlen und die Instanz zu übernehmen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.