anonhaven
Ad

CVE-2026-109286

HIGH CVSS 4.0: 8,6 EPSS 0.14%
Обновлено 18 октября 2026
Open
Параметр Значение
CVSS 8,6 (HIGH)
Уязвимые версии до 0.11.4
Тип уязвимости CWE-346 (Ошибка проверки источника)
Поставщик Open
Публичный эксплойт Нет

Open WebUI from 0.7.0 before 0.11.4 contains a cross-origin message handling vulnerability in SyncStatsModal that allows any website to steal a signed-in user's session token by posting unvalidated verify:chat messages. Attackers can supply a path-traversal chat id redirecting the authenticated stats export request to the auths endpoint, receiving the victim's JWT for full API access.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Пассивное
Минимальное взаимодействие

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-346 Origin Validation Error (Ошибка проверки источника)

Ссылки 2

https://github.com/open-webui/open-webui/security/advisories/GHSA-vpq8-f445-hcq7
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/open-webui-0.7.0-before-0.11.4-session-tok…
disclosure@vulncheck.com
Share Post Share Share Share

Связанные уязвимости

CVE-2026-111721

Open

5,3

CVE-2026-109572

Open

7,2

CVE-2026-109300

Open

5,1

CVE-2026-109299

Open

7,1

CVE-2026-109298

Open

7,1