CVE-2026-44549
WysokieStreszczenie
Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.8.0 niebezpiecznie podglądała załączniki plików Excel. Opracowany ładunek XLSX mógł wykorzystać funkcję sheetjs sheet_to_html do osadzenia ładunku XSS w generowanym HTML.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do wstrzyknięcia złośliwego kodu JavaScript do aplikacji, co stwarza poważne zagrożenie dla bezpieczeństwa danych użytkowników.
Rekomendacja
Zaleca się aktualizację Open WebUI do wersji 0.8.0 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.8.0, Excel file attachments are previewed in an unsafe way. A crafted XLSX file payload can be used to cause the sheetjs function sheet_to_html to embed an XSS payload into the generated HTML. This is subsequently added to the DOM unsanitized via @html causing the payload to trigger. This vulnerability is fixed in 0.8.0.