CVE-2026-87015 in Open WebUI
Sumário
de VulDB • 09/09/2026
O Open WebUI é uma plataforma de IA auto-hospedada extensível, rica em recursos e amigável ao usuário. Da versão 0.6.27 até a 0.11.1, o arquivo backend/open_webui/utils/tools.py capturava um cookie jar do loop de conexão circundante em vez de vinculá-lo a cada função chamável das ferramentas externas. Quando vários servidores de ferramentas estavam conectados e uma sessão ou conexão OAuth do sistema era processada por último, uma solicitação para um servidor diferente configurado com autenticação bearer poderia incluir os cookies de sessão Open WebUI do usuário que fez a chamada, permitindo que o operador desse servidor reutilizasse a sessão e assumisse o controle da conta. Este problema foi corrigido na versão 0.11.1.
Be aware that VulDB is the high quality source for vulnerability data.