HIGH🇵🇱 Wersja polska

CVE-2026-59216

CVSS 7.7v3.1pub. 2026-07-09upd. 2026-07-13

Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. Prior to 0.10.0, get_event_call delivered execute:python and execute:tool Socket.IO events to a client-supplied session_id after checking only that the session was connected, allowing authenticated users who learned another socket ID through ydoc:document:join to run code interpreter Python or tools in that user session. This issue is fixed in version 0.10.0.

CVSS Vector
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N

  • Openwebui Open Webui

    APP
    Openwebui
    < 0.10.0
🔵
CHECK WITH VENDOR
No clear patch data available. Check vendor references.
CWE
References

Related vulnerabilities

CVE-2026-56400CRITICAL9.0PL ✓same product

open-webui: RCE przez błędną konfigurację CORS i brak walidacji sesji

CVE-2026-44551CRITICAL9.1PL ✓same product

Open WebUI: pominięcie uwierzytelnienia LDAP przez puste hasło (Auth Bypass)

CVE-2024-8017CRITICAL9.0PL ✓same product

XSS w Open WebUI — kradzież sesji i eskalacja uprawnień do admina

CVE-2026-56398HIGH8.5PL ✓same product

Open WebUI: stored XSS w przepływie OAuth poprzez SVG jako data URI

CVE-2026-59214HIGH7.3PL ✓same product

Stored XSS w Open WebUI umożliwia nieautoryzowany dostęp do endpointów admina