HIGH🇵🇱 Wersja polska

CVE-2026-59214

CVSS 7.3v3.1pub. 2026-07-09upd. 2026-07-10

Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. Prior to 0.10.0, Open WebUI runs client-side Python with Pyodide in a same-origin web worker, allowing stored chat payloads that use pyodide.http.pyfetch or the js module fetch and XMLHttpRequest APIs to issue authenticated same-origin requests when a victim clicks Run, which can reach admin-only endpoints and execute server-side code through configured tools. This issue is fixed in version 0.10.0.

CVSS Vector
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

  • Openwebui Open Webui

    APP
    Openwebui
    < 0.10.0
🔵
CHECK WITH VENDOR
No clear patch data available. Check vendor references.
Tags
XSS
CWE
References

Related vulnerabilities

CVE-2026-56400CRITICAL9.0PL ✓same product

open-webui: RCE przez błędną konfigurację CORS i brak walidacji sesji

CVE-2026-44551CRITICAL9.1PL ✓same product

Open WebUI: pominięcie uwierzytelnienia LDAP przez puste hasło (Auth Bypass)

CVE-2024-8017CRITICAL9.0PL ✓same product

XSS w Open WebUI — kradzież sesji i eskalacja uprawnień do admina

CVE-2026-56398HIGH8.5PL ✓same product

Open WebUI: stored XSS w przepływie OAuth poprzez SVG jako data URI

CVE-2026-59216HIGH7.7PL ✓same product

Open WebUI: nieautoryzowane wykonanie kodu w cudzej sesji przez Socket.IO