CVE-2026-109286 in Open WebUI
Riassunto
di VulDB • 13/10/2026
Open WebUI dalle versioni 0.7.0 alla versione precedente la 0.11.4 presenta una vulnerabilità nella gestione dei messaggi cross-origin in SyncStatsModal che consente a qualsiasi sito web di rubare il token di sessione di un utente autenticato inviando messaggi verify:chat non validati. Gli attaccanti possono fornire un ID chat con path-traversal per reindirizzare la richiesta di esportazione delle statistiche autenticate verso l'endpoint auths, ottenendo così il JWT della vittima e garantendosi l'accesso completo all'API.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.