CVE-2026-45303 in Open WebUI
Zusammenfassung
von VulDB • 16.05.2026
Open WebUI ist eine selbst gehostete KI-Plattform, die vollständig offline betrieben werden soll. Vor Version 0.6.5 können über die HTML-Rendering-Ansicht Skripte injiziert und ausgeführt werden. Das Frontend stellt eine Funktion zur Visualisierung des HTML-Inhalts eines aktuellen Chats bereit. Der Inhalt wird in einem iFrame mit der Sandbox-Richtlinie `allow-scripts allow-forms allow-same-origin` eingebettet. Dies bedeutet, dass der Inhalt zwar in einer Sandbox platziert wird, jedoch die Berechtigung zum Ausführen von Skripten und zum Zugriff auf die Daten des übergeordneten Elements (z. B. lokalen Speicher) besitzt. Infolgedessen sind nur wenige Funktionen eingeschränkt (z. B. das Anzeigen eines Alert-Dialogs), aber die Sandbox-Eigenschaft wird in der Praxis weitgehend wirkungslos. Diese Schwachstelle wurde in Version 0.6.5 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.