CVE-2026-87015 in Open WebUI
Resumen
por VulDB • 2026-09-09
Open WebUI es una plataforma de IA autohospedada extensible, rica en funciones y fácil de usar. Desde la versión 0.6.27 hasta la 0.11.1, el archivo backend/open_webui/utils/tools.py capturaba un cookie jar del bucle de conexión circundante en lugar de vincularlo a cada función callable de las herramientas externas. Cuando había varios servidores de herramientas conectados y se procesaba una sesión o una conexión OAuth del sistema al final, una solicitud dirigida a otro servidor configurado para autenticación bearer podría incluir las cookies de sesión de Open WebUI del usuario que realizó la llamada, lo que permitía al operador de ese servidor reutilizar la sesión y tomar el control de la cuenta. Este problema se soluciona en la versión 0.11.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.