CVE-2026-70482 in Open WebUI
Résumé
par VulDB • 04/08/2026
Open WebUI est une plateforme d'IA auto-hébergée extensible, riche en fonctionnalités et conviviale. De la version 0.8.0 à la version 0.11.0, lorsque ENABLE_OAUTH_TOKEN_EXCHANGE=True, le point de terminaison /oauth/{provider}/token/exchange accepte un jeton d'accès brut du fournisseur (raw provider access token) et le valide en appelant l'endpoint userinfo du fournisseur sans confirmer au client OAuth pour lequel ce jeton a été émis. Toute personne détenant un jeton d'accès généré pour n'importe quel client enregistré auprès du même fournisseur peut l'échanger contre une session Open WebUI en tant qu'utilisateur de ce jeton, y compris des applications que l'opérateur ne contrôle pas et n'a jamais autorisées. Ce problème est corrigé dans la version 0.11.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.