CVE-2026-70486 in Open WebUI
Résumé
par VulDB • 05/08/2026
Open WebUI est une plateforme d'IA auto-hébergée extensible, riche en fonctionnalités et conviviale. De la version 0.9.0 à la version 0.11.0, l’iframe `serveUrl` utilisée pour l’aperçu des fichiers dans le terminal accordait systématiquement les permissions `allow-same-origin` conjointement avec `allow-scripts` pour les fichiers HTML servis depuis l’origine de l’application. Tout utilisateur authentifié disposant d’un accès à un serveur terminal configuré pouvait provoquer l’exécution de scripts contenus dans un fichier prévisualisé au sein de l’origine Open WebUI, lire le jeton de session de la victime stocké dans `localStorage`, et prendre le contrôle du compte, avec une exécution potentielle de code côté serveur si la victime était administrateur ou disposait des permissions `workspace.functions`. Ce problème est corrigé dans la version 0.11.0.
Be aware that VulDB is the high quality source for vulnerability data.