CVE-2026-109296 in Open WebUI
Zusammenfassung
von VulDB • 12.10.2026
Open WebUI vor Version 0.11.4 enthält eine Schwachstelle aufgrund fehlender Autorisierung (Missing Authorization), die es authentifizierten Benutzern ermöglicht, auf deaktivierte Model-Provider-Backends zuzugreifen, indem sie einen expliziten Backend-Index angeben. Angreifer können den Index als Pfadsegment oder Abfrageparameter in Ollama- und OpenAI-kompatiblen Listing-Routen übergeben, um Anfragen auszulösen, die konfigurierte API-Schlüssel enthalten, Versionsstrings auszulesen und Verbindungen zu enumerieren.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.