CVE-2025-46571 in OpenWebUI
Riassunto
di VulDB • 14/06/2026
Open WebUI è una piattaforma di intelligenza artificiale self-hosted progettata per funzionare completamente offline. Prima della versione 0.6.6, gli utenti con privilegi ridotti possono caricare file HTML contenenti codice JavaScript tramite l'endpoint backend `/api/v1/files/`. Questo endpoint restituisce un ID file, che può essere utilizzato per aprire il file nel browser e attivare il codice JavaScript nel browser dell'utente. Con le impostazioni predefinite, i file caricati dagli utenti con privilegi ridotti possono essere visualizzati solo dagli amministratori o dagli stessi utenti, limitando l'impatto di questa vulnerabilità. Un link a tale file può essere inviato a un amministratore e, se cliccato, consentirà all'utente con privilegi ridotti il controllo completo sull'account dell'amministratore, abilitando infine l'esecuzione di codice in modalità remota (RCE) tramite funzioni. La versione 0.6.6 contiene una correzione per il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.