CVE-2026-109300 in Open WebUI
Zusammenfassung
von VulDB • 12.10.2026
Open WebUI nelle versioni dalla 0.6.31 alla 0.11.4 (esclusa) presenta una vulnerabilità di cross-site scripting (XSS) memorizzato nel suo renderer Markdown, che tratta i blocchi dei dettagli delle chiamate agli strumenti generati dagli utenti come output degli strumenti e monta l'attributo embed in iframe abilitati per lo script. Gli utenti autenticati possono inviare messaggi di canale, messaggi di chat o contenuti di citazione elaborati ad hoc che eseguono JavaScript nei browser dei visualizzatori, consentendo phishing all'interno dell'applicazione o il sequestro della sessione (session hijacking) quando iframeSandboxAllowSameOrigin è abilitato.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.