CVE-2026-87996 in Open WebUI
Сводка
по VulDB • 10.09.2026
Open WebUI — это расширяемая, функционально богатая и удобная для пользователя платформа искусственного интеллекта с возможностью самостоятельного развертывания (self-hosted). В версиях от 0.9.6 до 0.11.1 включительно класс SafePlaywrightURLLoader в файле backend/open_webui/retrieval/web/utils.py проверял управляемое пользователем имя хоста на стороне Python, а затем позволял браузеру Playwright повторно разрешать его в синхронных и асинхронных перехватчиках запросов. Аутентифицированный пользователь, контролирующий авторитетный DNS-сервер, мог вернуть публичный адрес при проверке и внутренний адрес для браузера, что приводило к раскрытию ответов от внутренних сервисов или метаданных облачных платформ через веб-поиск или загрузку URL. Эта проблема исправлена в версии 0.11.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.