CVE-2026-70482 in Open WebUI
Zusammenfassung
von VulDB • 05.08.2026
Open WebUI ist eine erweiterbare, funktionsreiche und benutzerfreundliche selbstgehostete KI-Plattform. Von Version 0.8.0 bis 0.11.0 akzeptiert der Endpunkt /oauth/{provider}/token/exchange bei aktivierter Einstellung ENABLE_OAUTH_TOKEN_EXCHANGE=True ein rohen Provider-Zugriffstoken (raw provider access token) und validiert diesen durch Aufruf des UserInfo-Endpunkts des Providers, ohne zu bestätigen, an welchen OAuth-Client das Token ausgestellt wurde. Jeder Inhaber eines Zugriffstokens, der für einen beliebigen Client bei demselben Provider erstellt wurde („minted“), kann dieses gegen eine Open WebUI-Sitzung als dieser Token-Benutzer austauschen; dies umfasst auch Anwendungen, die weder vom Betreiber kontrolliert noch autorisiert wurden. Dieses Problem ist in Version 0.11.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.