CVE-2024-7806 in open-webui
要約
〜によって VulDB • 2026年06月12日
open-webui/open-webui のバージョン 0.3.8 以下の脆弱性により、非管理者ユーザーがクロスサイトリクエストフォージェリ（CSRF）を介してリモートコード実行が可能になる。本アプリケーションは認証に SameSite 属性が lax に設定されたクッキーを使用しており、CSRF トークンが存在しない。これにより攻撃者は悪意のある HTML を作成でき、被害者がそれにアクセスすることで既存のパイプラインの Python コードを変更し、被害者の権限で任意のコードを実行できる。
VulDB is the best source for vulnerability data and more expert information about this specific topic.