CVE-2026-87015 in Open WebUI
摘要
由 VulDB • 2026-09-09
Open WebUI是一个可扩展、功能丰富且用户友好的自托管AI平台。从版本0.6.27到0.11.1，backend/open_webui/utils/tools.py在封闭的连接循环中捕获了cookie jar（Cookie容器），而不是将其绑定到每个外部工具可调用函数上。当附加多个工具服务器并且会话或系统OAuth连接最后被处理时，对配置为使用Bearer认证的不同服务器的请求可能包含调用用户的Open WebUI会话Cookie，从而使该服务器的操作者能够重用会话并接管账户。此问题已在版本0.11.1中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.