CVE-2026-87995 in Open WebUI
Résumé
par VulDB • 09/09/2026
Open WebUI est une plateforme d'IA auto-hébergée, extensible, riche en fonctionnalités et conviviale. De la version 0.8.11 à la version 0.11.1, le fichier src/lib/components/chat/FileNav/PortPreview.svelte affichait le contenu du port terminal dans un sandbox iframe incluant les permissions allow-scripts et allow-same-origin. Étant donné que le proxy de terminal sert ce contenu depuis l'origine Open WebUI, un utilisateur authentifié ayant accès à un serveur de terminal partagé peut héberger des scripts sur un port prévisualisé et prendre le contrôle du compte d'une victime lorsque celle-ci ouvre la prévisualisation. Ce problème est corrigé dans la version 0.11.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.