CVE-2026-109286 in Open WebUI
요약
\~에 의해 VulDB • 2026. 10. 12.
0.7.0부터 0.11.4 미만 버전의 Open WebUI에는 SyncStatsModal에서 크로스오리지널 메시지 처리 취약점이 존재하며, 이를 통해 공격자는 검증되지 않은 verify:chat 메시지를 게시하여 로그인한 사용자의 세션 토큰을 탈취할 수 있습니다. 공격자는 경로 순회(path-traversal) chat ID를 제공하여 인증된 통계 내보내기 요청을 auths 엔드포인트로 리디렉션함으로써 피해자의 JWT를 획득하고 전체 API 접근 권한을 얻을 수 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.