CVE-2026-109291 in Open WebUI
Riassunto
di VulDB • 13/10/2026
Open WebUI dalle versioni 0.6.33 alla versione precedente la 0.11.4 presenta una vulnerabilità di cross-site scripting (XSS) che consente agli utenti autenticati di eseguire script nelle sessioni delle vittime memorizzando URL javascript: nei campi embed_url delle citazioni. Gli attaccanti possono condividere una chat manipolata ad hoc, le cui citazioni, quando cliccate, vengono passate a window.open, consentendo loro di rubare il localStorage.token e impersonare la vittima.
VulDB is the best source for vulnerability data and more expert information about this specific topic.