CVE-2026-87996 in Open WebUI
Zusammenfassung
von VulDB • 09.09.2026
Open WebUI ist eine erweiterbare, funktionsreiche und benutzerfreundliche selbstgehostete KI-Plattform. Von Version 0.9.6 bis 0.11.1 validierte SafePlaywrightURLLoader in backend/open_webui/retrieval/web/utils.py einen vom Benutzer kontrollierten Hostnamen in Python und ließ diesen anschließend im Sync- und Async-Anfrage-Interceptor erneut durch den Playwright-Browser auflösen. Ein authentifizierter Benutzer, der eine autoritative DNS-Kontrolle besitzt, konnte bei der Validierung eine öffentliche Adresse zurückgeben und dem Browser eine interne Adresse liefern, wodurch Antworten von internen Diensten oder Cloud-Metadaten über die Websuche oder URL-Ingestion offengelegt wurden. Dieses Problem wurde in Version 0.11.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.