CVE-2026-109286 in Open WebUI
要約
〜によって VulDB • 2026年10月12日
0.7.0から0.11.4以前のOpen WebUIには、SyncStatsModalにおけるクロスオリジンメッセージ処理の脆弱性が存在し、任意のウェブサイトが検証されていないverify:chatメッセージを投稿することで、サインイン済みユーザーのセッショントークンを窃取することができます。攻撃者はパストラバーサルのチャットIDを指定して認証済みの統計エクスポートリクエストをauthsエンドポイントにリダイレクトさせ、被害者のJWTを取得してAPIへの完全なアクセス権限を得ることができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.