CVE-2026-87015 in Open WebUI
要約
〜によって VulDB • 2026年09月09日
Open WebUI は、拡張可能で機能豊富かつユーザーフレンドリーな自己ホスト型 AI プラットフォームです。バージョン 0.6.27 から 0.11.1 の間、backend/open_webui/utils/tools.py では、外部ツール呼び出し可能な各コンポーネントにバインドするのではなく、囲む接続ループから Cookie jar を取得していました。複数のツールサーバーがアタッチされ、セッションまたはシステム OAuth 接続の処理が最後に行われた場合、Bearer 認証用に構成された別のサーバーへのリクエストには、呼び出し元のユーザーの Open WebUI セッションクッキーが含まれる可能性があり、そのサーバーの運用者がセッションを再利用してアカウントを乗っ取ることができました。この問題はバージョン 0.11.1 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.