CVE-2026-109297

Open WebUI przed 0.11.4 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom na dostęp do wyłączonych backendów modeli poprzez podanie jawnego indeksu backendu. Atakujący mogą wywoływać żądania z kluczami API, odczytywać wersje i enumerować połączenia.

Open WebUI od 0.6.27 przed 0.11.4 zawiera podatność ujawnienia informacji, która pozwala serwerom docelowym na uzyskanie ciasteczek sesji użytkownika poprzez otrzymywanie pełnego zestawu ciasteczek przeglądarki podczas połączeń w trybie OAuth. Operatorzy połączeń zgodnych z OpenAI, serwerów narzędzi OpenAPI lub serwerów terminalowych mogą przechwycić przekazywane ciasteczka sesji i odtworzyć je w celu przejęcia kont, w tym administratorów.

Open WebUI w wersjach od 0.6.33 do 0.11.4 zawiera podatność na cross-site scripting (XSS), która pozwala zautentykowanym użytkownikom na wykonanie skryptu w sesjach ofiar poprzez przechowywanie adresów URL javascript: w polach embed_url cytatów. Atakujący mogą udostępnić spreparowany czat, którego cytat po kliknięciu jest przekazywany do window.open, co pozwala ukraść localStorage.token i działać jako ofiara.

Open WebUI od 0.9.6 przed 0.11.4 zawiera wadę autoryzacji, gdzie lista plików bazy wiedzy nie weryfikuje, czy podany directory_id należy do żądanej bazy wiedzy. Użytkownicy z dostępem do odczytu dowolnej bazy wiedzy mogą podać zachowany obcy UUID katalogu do GET /api/v1/knowledge/{id}/files. Zwrócone breadcrumbs ujawniają nazwy folderów, identyfikatory właścicieli i identyfikatory baz wiedzy tego katalogu i wszystkich jego przodków.

Open WebUI w wersjach od 0.7.0 do 0.11.4 zawiera podatność na przechwytywanie komunikatów między domenami w komponencie SyncStatsModal, która pozwala dowolnej stronie internetowej ukraść token sesji zalogowanego użytkownika poprzez wysyłanie niezweryfikowanych komunikatów verify:chat. Atakujący może użyć ścieżki traversal w identyfikatorze czatu, aby przekierować uwierzytelnione żądanie eksportu statystyk do punktu końcowego auths i otrzymać JWT ofiary, uzyskując pełny dostęp do API.

W Open WebUI przed wersją 0.8.6 występuje podatność w API do uzupełniania czatu, która pozwala atakującym na obejście ograniczeń narzędzi, co może prowadzić do nieautoryzowanych działań lub dostępu.

W Open WebUI przed wersją 0.9.0 występuje podatność typu Server-Side Request Forgery (SSRF) w funkcji _process_picture_url(), która umożliwia atakującemu wymuszenie na serwerze wykonywania żądań HTTP do wewnętrznych zasobów.

Open WebUI przed wersją 0.9.3 ma podatność, która pozwala na przesyłanie plików audio z rozszerzeniem HTML, co może prowadzić do wykonania złośliwego kodu w przeglądarkach użytkowników. Użytkownik z odpowiednimi uprawnieniami może oszukać innych, aby otworzyli złośliwy link.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.6.5 pozwalała na wstrzykiwanie i wykonywanie skryptów poprzez widok renderowania HTML. Zawartość czatu była osadzona w iFrame z ograniczeniami, które w praktyce były niewystarczające.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.3.16 miała brak kontroli uprawnień w plikach związanych z punktami końcowymi API. Umożliwiało to każdemu uwierzytelnionemu użytkownikowi przeglądanie, dostęp i usuwanie wszystkich plików przesłanych przez innych użytkowników.