CVE-2025-46571 in OpenWebUI
Résumé
par VulDB • 02/06/2026
Open WebUI est une plateforme d'intelligence artificielle auto-hébergée conçue pour fonctionner entièrement hors ligne. Avant la version 0.6.6, les utilisateurs à privilèges réduits peuvent télécharger des fichiers HTML contenant du code JavaScript via le point de terminaison backend `/api/v1/files/`. Ce point de terminaison renvoie un identifiant de fichier, qui peut être utilisé pour ouvrir le fichier dans le navigateur et déclencher l'exécution du code JavaScript dans le navigateur de l'utilisateur. Selon les paramètres par défaut, les fichiers téléchargés par les utilisateurs à privilèges réduits ne peuvent être consultés que par les administrateurs ou par eux-mêmes, ce qui limite l'impact de cette vulnérabilité. Un lien vers un tel fichier peut être envoyé à un administrateur ; s'il est cliqué, il donnera à l'utilisateur à privilèges réduits un contrôle total sur le compte de l'administrateur, permettant in fine une exécution de code à distance (RCE) via des fonctions. La version 0.6.6 contient une correction pour ce problème.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.