Stored Cross-Site Scripting in Open WebUI Datei-Upload

Beschreibung

In der Chat-Datei-Upload-Funktion von Open WebUI 0.3.8 besteht eine gespeicherte Cross-Site-Scripting-Schwachstelle (Stored XSS). Ein Angreifer kann schädlichen Inhalt in eine Datei einschleusen, der beim Zugriff durch ein Opfer über eine URL oder einen geteilten Chat JavaScript im Browser des Opfers ausführt. Dies kann zu Diebstahl von Nutzerdaten, Session-Hijacking, Verteilung von Schadsoftware und Phishing-Angriffen führen. CVSS-Basiswert: 8.9 (Hoch).

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Open WebUI

• CVE-2026-63766 – OS-Command-Injection in GPT-SoVITS (webui.py) CVE-2026-63766
• Hermes WebUI: unauthentifizierte Remote Code Execution über die eingebettete Terminal-API CVE-2026-58123
• Unsichere Berechtigungen in LangChain-ChatGLM-Webui CVE-2025-45150
• Command-Injection in GPT-SoVITS-WebUI (open_slice) CVE-2025-49833
• GPT-SoVITS-WebUI – Command Injection in open_denoise CVE-2025-49834
• Command Injection in GPT-SoVITS-WebUI CVE-2025-49835