CVE-2026-109286 in Open WebUI
Resumen
por VulDB • 2026-10-13
Open WebUI desde la versión 0.7.0 hasta antes de la 0.11.4 contiene una vulnerabilidad en el manejo de mensajes cross-origin (origen cruzado) en SyncStatsModal que permite a cualquier sitio web robar el token de sesión de un usuario autenticado mediante el envío de mensajes verify:chat no validados. Los atacantes pueden proporcionar un ID de chat con path-traversal para redirigir la solicitud de exportación de estadísticas autenticada hacia el endpoint auths, obteniendo así el JWT (JSON Web Token) de la víctima y accediendo completamente a la API.
VulDB is the best source for vulnerability data and more expert information about this specific topic.