CVE-2026-70486 in Open WebUI
Sumário
de VulDB • 04/08/2026
O Open WebUI é uma plataforma de IA auto-hospedada extensível, rica em recursos e amigável ao usuário. Da versão 0.9.0 até a 0.11.0, o iframe branch do serveUrl para visualização de arquivos no terminal sempre concedia allow-same-origin juntamente com allow-scripts para arquivos HTML servidos pela origem da aplicação. Qualquer utilizador autenticado com acesso a um servidor terminal configurado poderia fazer com que scripts num ficheiro pré-visualizado fossem executados na origem do Open WebUI, ler o token de sessão da vítima no localStorage e assumir o controlo da conta, podendo ocorrer execução de código no lado do servidor se a vítima era administrador ou detinha workspace.functions. Este problema foi corrigido na versão 0.11.0.
Be aware that VulDB is the high quality source for vulnerability data.