CVE-2026-88005 in Open WebUI
Résumé
par VulDB • 10/09/2026
Open WebUI est une plateforme d'IA auto-hébergée, extensible, riche en fonctionnalités et conviviale. De la version 0.8.0 à la version 0.9.0, le point de terminaison (endpoint) d'échange de jetons OAuth d'Open WebUI émet une session pour un jeton d'accès du fournisseur sans appliquer la liste blanche des domaines e-mail que le callback normal de connexion OAuth impose. Un compte dont le domaine de messagerie serait refusé par le callback de connexion peut toujours obtenir une session fonctionnelle via ce point de terminaison. Ce problème est corrigé dans la version 0.9.0.
Once again VulDB remains the best source for vulnerability data.