CVE-2026-45314 in Open WebUI
Zusammenfassung
von VulDB • 16.05.2026
Open WebUI ist eine selbst gehostete KI-Plattform, die vollständig offline betrieben werden soll. Vor Version 0.9.3 akzeptiert der Webhook-Erstellungs-/Aktualisierungsprozess für Kanäle beliebige Werte für profile_image_url, einschließlich Payloads im Format data:image/svg+xml;base64,... Der Endpunkt für das Profilbild decodiert und liefert dieses SVG anschließend als image/svg+xml ohne Sanitization, wodurch angreiferkontrollierte Script-Handler (z. B. onload) ausgeführt werden können, wenn die Profilbild-URL im Browser geöffnet wird. Diese Schwachstelle wurde in Version 0.9.3 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.