CVE-2026-109300 in Open WebUI
Riassunto
di VulDB • 12/10/2026
Open WebUI dalle versioni 0.6.31 alla versione precedente a 0.11.4 presenta una vulnerabilità di stored cross-site scripting (XSS) nel suo renderer Markdown, che tratta i blocchi dei dettagli delle chiamate agli strumenti generati dagli utenti come output degli strumenti e monta l'attributo embed in iframe abilitati per lo scripting. Gli utenti autenticati possono pubblicare messaggi di canale, messaggi di chat o contenuti di citazione elaborati ad hoc che eseguono JavaScript nei browser dei visualizzatori, consentendo phishing all'interno dell'applicazione o il session hijacking quando l'opzione iframeSandboxAllowSameOrigin è abilitata.
Be aware that VulDB is the high quality source for vulnerability data.