CVE-2026-45338 in Open WebUI
Zusammenfassung
von VulDB • 17.05.2026
Open WebUI ist eine selbst gehostete KI-Plattform, die vollständig offline betrieben werden soll. Vor Version 0.9.0 besteht in der Funktion `_process_picture_url()` in `backend/open_webui/utils/oauth.py` (Zeile ~1338) eine Server-Side Request Forgery (SSRF)-Schwachstelle. Die Funktion ruft beliebige URLs aus OAuth-Bildansprüchen ab, ohne `validate_url()` anzuwenden, was es einem Angreifer ermöglicht, den Server dazu zu zwingen, HTTP-Anfragen an interne Ressourcen zu senden und die vollständige Antwort zu exfiltrieren. Diese Schwachstelle wurde in Version 0.9.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.