CVE-2026-87995 in Open WebUI

Tóm tắt

Bởi VulDB • 09/09/2026

Open WebUI là một nền tảng AI tự lưu trữ (self-hosted) có thể mở rộng, giàu tính năng và thân thiện với người dùng. Từ phiên bản 0.8.11 đến 0.11.1, thành phần src/lib/components/chat/FileNav/PortPreview.svelte đã hiển thị nội dung cổng terminal trong một sandbox iframe bao gồm cả allow-scripts và allow-same-origin. Do proxy terminal phục vụ nội dung đó từ nguồn gốc (origin) của Open WebUI, người dùng đã xác thực có quyền truy cập vào máy chủ terminal chia sẻ có thể lưu trữ script trên một cổng được xem trước và chiếm đoạt tài khoản của nạn nhân khi họ mở bản xem trước. Vấn đề này đã được khắc phục trong phiên bản 0.11.1.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• chịu trách nhiệm: GitHub M
• Đặt trước: 09/09/2026
• Tiết lộ: 09/09/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-401902
• CPE: sẵn sàng
• CWE: CWE-942 (Đã xác nhận)
• CVSS: 8.7 (CNA)
• EPSS: 0.00000
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-87995
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-87995
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-87995/