CVE-2026-109299

Open WebUI 0.11.0 przed 0.11.4 zawiera podatność na odmowę usługi w walidatorze reguł cyklicznych automatyzacji. Użytkownicy mogą tworzyć reguły, które rozszerzają się co sekundę, blokując wspólną pętlę zdarzeń na kilka minut na żądanie i przy każdym odpytywaniu harmonogramu.

Open WebUI przed 0.11.4 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom na dostęp do wyłączonych backendów modeli poprzez podanie jawnego indeksu backendu. Atakujący mogą wywoływać żądania z kluczami API, odczytywać wersje i enumerować połączenia.

Open WebUI od 0.6.27 przed 0.11.4 zawiera podatność ujawnienia informacji, która pozwala serwerom docelowym na uzyskanie ciasteczek sesji użytkownika poprzez otrzymywanie pełnego zestawu ciasteczek przeglądarki podczas połączeń w trybie OAuth. Operatorzy połączeń zgodnych z OpenAI, serwerów narzędzi OpenAPI lub serwerów terminalowych mogą przechwycić przekazywane ciasteczka sesji i odtworzyć je w celu przejęcia kont, w tym administratorów.

Open WebUI w wersjach od 0.6.33 do 0.11.4 zawiera podatność na cross-site scripting (XSS), która pozwala zautentykowanym użytkownikom na wykonanie skryptu w sesjach ofiar poprzez przechowywanie adresów URL javascript: w polach embed_url cytatów. Atakujący mogą udostępnić spreparowany czat, którego cytat po kliknięciu jest przekazywany do window.open, co pozwala ukraść localStorage.token i działać jako ofiara.

Open WebUI od 0.9.6 przed 0.11.4 zawiera wadę autoryzacji, gdzie lista plików bazy wiedzy nie weryfikuje, czy podany directory_id należy do żądanej bazy wiedzy. Użytkownicy z dostępem do odczytu dowolnej bazy wiedzy mogą podać zachowany obcy UUID katalogu do GET /api/v1/knowledge/{id}/files. Zwrócone breadcrumbs ujawniają nazwy folderów, identyfikatory właścicieli i identyfikatory baz wiedzy tego katalogu i wszystkich jego przodków.

Open WebUI w wersjach od 0.7.0 do 0.11.4 zawiera podatność na przechwytywanie komunikatów między domenami w komponencie SyncStatsModal, która pozwala dowolnej stronie internetowej ukraść token sesji zalogowanego użytkownika poprzez wysyłanie niezweryfikowanych komunikatów verify:chat. Atakujący może użyć ścieżki traversal w identyfikatorze czatu, aby przekierować uwierzytelnione żądanie eksportu statystyk do punktu końcowego auths i otrzymać JWT ofiary, uzyskując pełny dostęp do API.

W Open WebUI przed wersją 0.8.6 występuje podatność w API do uzupełniania czatu, która pozwala atakującym na obejście ograniczeń narzędzi, co może prowadzić do nieautoryzowanych działań lub dostępu.

W Open WebUI przed wersją 0.9.0 występuje podatność typu Server-Side Request Forgery (SSRF) w funkcji _process_picture_url(), która umożliwia atakującemu wymuszenie na serwerze wykonywania żądań HTTP do wewnętrznych zasobów.

Open WebUI przed wersją 0.9.3 ma podatność, która pozwala na przesyłanie plików audio z rozszerzeniem HTML, co może prowadzić do wykonania złośliwego kodu w przeglądarkach użytkowników. Użytkownik z odpowiednimi uprawnieniami może oszukać innych, aby otworzyli złośliwy link.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.6.5 pozwalała na wstrzykiwanie i wykonywanie skryptów poprzez widok renderowania HTML. Zawartość czatu była osadzona w iFrame z ograniczeniami, które w praktyce były niewystarczające.