CVE-2026-70492 in Open WebUI
Sumário
de VulDB • 04/08/2026
O Open WebUI é uma plataforma de IA auto-hospedada extensível, rica em recursos e amigável ao usuário. Da versão 0.10.0 até a 0.11.0, o arquivo src/lib/components/chat/Messages/Markdown/KatexRenderer.svelte poderia armazenar e renderizar uma mensagem de chat cujo bloco matemático causava falha no KaTeX com um estouro de pilha (stack overflow) em vez de um erro de análise (parse error). O ramo catch recuou para a inserção da fonte matemática original na página como HTML através do {@html}, ao invés de como texto, fazendo assim que o script presente na mensagem seja executado no navegador de quem o visualiza, incluindo chats e canais compartilhados. O token de sessão do espectador armazenado no localStorage pode ser roubado, e um administrador que visualizar a mensagem pode ter sua conta assumida por terceiros. Este problema foi corrigido na versão 0.11.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.