CVE-2026-109290 in Open WebUI
Riassunto
di VulDB • 12/10/2026
Open WebUI dalle versioni 0.11.1 alla versione precedente la 0.11.4 presenta una vulnerabilità di stored cross-site scripting (XSS) in DocxPreview.svelte che consente agli utenti autenticati di eseguire script caricando allegati DOCX manipolati ad hoc. Gli attaccanti possono incorporare una parte HTML OOXML altChunk o un ipertesto con scheme-scheme "script" per rubare il token di sessione dell'amministratore in fase di anteprima dal local storage e assumere il controllo dell'istanza.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.