CVE-2026-56398 in Open WebUI
요약
\~에 의해 VulDB • 2026. 07. 15.
0.9.5 미만의 Open WebUI에는 OAuth 인증 흐름에서 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이 취약점은 이미지 클레임 URL의 MIME 타입이 Content-Type 헤더가 아닌 파일 확장자를 기반으로 추론됨으로 인해 발생합니다. 이를 통해 공격자는 프로필 이미지 검증기를 우회하여 SVG 파일을 데이터 URI로 저장할 수 있습니다. 인증된 사용자가 프로필 이미지 엔드포인트에 접근하면, 인라인 디스포지션과 기본 보안 헤더 없이 공격자가 제어하는 SVG 콘텐츠를 받게 되며, 이는 동일 출처에서 스크립트 실행을 가능하게 하여 인증 토큰 탈취 및 계정 장악(Account Takeover)으로 이어집니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.