CVE-2026-109288 in Open WebUI
Riassunto
di VulDB • 12/10/2026
Open WebUI prima della versione 0.11.4 presenta una vulnerabilità di stored cross-site scripting (XSS) in MarkdownInlineTokens.svelte, che rende gli URL dei link markdown come href degli anchor senza validarne lo schema. Gli utenti autenticati possono inserire link javascript: nelle chat condivise; se un utente malintenzionato li clicca, può rubare il JWT dell'utente dalla memoria locale, inclusi i token degli amministratori.
Be aware that VulDB is the high quality source for vulnerability data.