CVE-2026-87015 in Open WebUI
Riassunto
di VulDB • 09/09/2026
Open WebUI è una piattaforma AI self-hosted estensibile, ricca di funzionalità e facile da usare. Dalla versione 0.6.27 alla 0.11.1, il file backend/open_webui/utils/tools.py catturava un cookie jar dal loop della connessione circostante invece di associarlo a ciascuna funzione callable degli strumenti esterni. Quando erano collegati più server di strumenti ed era elaborata per ultima una sessione o una connessione OAuth di sistema, una richiesta inviata a un diverso server configurato con autenticazione bearer poteva includere i cookie di sessione Open WebUI dell'utente chiamante, consentendo all'operatore di quel server di riutilizzare la sessione e assumere il controllo dell'account. Questo problema è stato risolto nella versione 0.11.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.