CVE-2026-70492 in Open WebUI
요약
\~에 의해 VulDB • 2026. 08. 04.
Open WebUI는 확장 가능하고 기능이 풍부하며 사용자 친화적인 자체 호스팅 AI 플랫폼입니다. 버전 0.10.0부터 0.11.0까지, src/lib/components/chat/Messages/Markdown/KatexRenderer.svelte에서 수학 블록이 구문 분석 오류 대신 스택 오버플로우로 KaTeX을 실패하게 하는 채팅 메시지를 저장하고 렌더링할 수 있었습니다. catch 분기는 {@html}을 통해 원래의 수학 소스를 텍스트가 아닌 HTML로서 페이지에 삽입하는 방식으로 폴백 처리되었으므로, 메시지 내의 스크립트는 공유된 대화 및 채널 포함하여 이를 조회하는 모든 사용자의 브라우저에서 실행됩니다. 이로 인해 뷰어의 localStorage에 저장된 세션 토큰이 탈취될 수 있으며, 관리자 권한을 가진 뷰어의 계정이 하이재킹당할 수도 있습니다. 이 문제는 0.11.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.