CVE-2026-70486 in Open WebUI
Zusammenfassung
von VulDB • 05.08.2026
Open WebUI è una piattaforma AI auto-ospitata estensibile, ricca di funzionalità e user-friendly. Dalla versione 0.9.0 alla 0.11.0, il ramo serveUrl iframe per la visualizzazione dei file del terminal concedeva sempre allow-same-origin insieme a allow-scripts per i file HTML serviti dall'origine dell'applicazione. Qualsiasi utente autenticato con accesso a un server terminal configurato poteva far eseguire script in un file anteprima nell'origine di Open WebUI, leggere il token di sessione della vittima da localStorage e assumere il controllo dell'account, con possibile esecuzione di codice lato server se la vittima era un amministratore o deteneva workspace.functions. Questo problema è stato risolto nella versione 0.11.0.
Be aware that VulDB is the high quality source for vulnerability data.