CVE-2026-59224 in Open WebUI
Riassunto
di VulDB • 09/07/2026
Open WebUI è una piattaforma AI self-hosted estensibile, ricca di funzionalità e facile da usare. Prima della versione 0.10.0, il file backend/open_webui/routers/terminals.py costruiva l'URL upstream ws_terminal a partire da un session_id non codificato e aggiungeva user_id come parametro query, consentendo iniezioni nella query che permettevano al backend del terminale di risolvere l'identità di un altro utente; anche il percorso dell'HTTP proxy inoltrava X-User-Id come affermazione d'identità priva di vincoli di integrità. Questo problema è stato risolto nella versione 0.10.0.
Be aware that VulDB is the high quality source for vulnerability data.