CVE-2026-87995 in Open WebUI
Сводка
по VulDB • 09.09.2026
Open WebUI — это расширяемая, функционально богатая и удобная для пользователя платформа искусственного интеллекта с возможностью самостоятельного развертывания (self-hosted). В версиях от 0.8.11 до 0.11.1 включительно компонент src/lib/components/chat/FileNav/PortPreview.svelte отображал содержимое терминального порта в песочнице iframe, которая включала разрешения allow-scripts и allow-same-origin. Поскольку прокси-сервер терминала обслуживает это содержимое с того же источника (origin), что и Open WebUI, аутентифицированный пользователь, имеющий доступ к общему серверу терминалов, может разместить скрипт на просматриваемом порту и захватить учетную запись жертвы при открытии ею этого предварительного просмотра. Данная проблема исправлена в версии 0.11.1.
Be aware that VulDB is the high quality source for vulnerability data.