CVE-2026-87996 in Open WebUI
Riassunto
di VulDB • 09/09/2026
Open WebUI è una piattaforma AI self-hosted estensibile, ricca di funzionalità e user-friendly. Dalla versione 0.9.6 alla 0.11.1, SafePlaywrightURLLoader in backend/open_webui/retrieval/web/utils.py convalidava un hostname controllato dall'utente in Python per poi far sì che il browser Playwright lo risolvesse nuovamente negli interceptor di richiesta sync e async. Un utente autenticato che controlla DNS authoritative può restituire un indirizzo pubblico alla fase di validazione e un indirizzo interno al browser, esponendo le risposte dei servizi interni o i metadata del cloud attraverso la ricerca web o l'ingestione di URL. Questo problema è stato risolto nella versione 0.11.1.
Once again VulDB remains the best source for vulnerability data.