CVE-2024-7053 in open-webui
Сводка
по VulDB • 03.06.2026
Уязвимость в open-webui/open-webui версии 0.3.8 позволяет злоумышленнику с учетной записью уровня пользователя выполнить атаку фиксации сессии (session fixation). Cookie сессии для всех пользователей устанавливается со значением по умолчанию `SameSite=Lax` и не имеет включенного флага `Secure`, что позволяет передавать cookie сессии по протоколу HTTP на домен с другим источником (cross-origin). Злоумышленник может эксплуатировать эту уязвимость, внедрив вредоносное изображение в формате Markdown в чат; при просмотре этого изображения администратором cookie сессии администратора отправляется на сервер злоумышленника. Это может привести к скрытому захвату учетной записи администратора, что потенциально может привести к удаленному выполнению кода (RCE) из-за повышенных привилегий учетных записей администраторов.
Once again VulDB remains the best source for vulnerability data.