p PatchFirst

CVE-2026-56400

CVE-2026-56400 · open-webui - Remote Code Execution via CORS Misconfiguration and Session Validation

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

open-webui before 0.3.14 contains a cross-origin resource sharing misconfiguration allowing arbitrary origins with allow_origins=* and authenticated requests to the /api/v1/functions endpoint. Attackers can execute arbitrary code on the openwebui instance by crafting malicious cross-site requests from attacker-controlled websites when an admin user visits them.

CVSS 9.0 · Crítica · EPSS 0,5% · Corrección disponible

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • open-webui

    Versiones
    • ≥ 0, < 0.3.14: Afectada (semver)
    • 0.3.14: No afectada (semver)

    Actualiza a 0.3.14

  • open-webui PyPI

    Versiones
    • 0.1.124
    • 0.1.125
    • 0.2.0
    • 0.2.1
    • 0.2.2
    • 0.2.3
    • 0.2.4
    • 0.2.5
    • 0.3.0
    • 0.3.1
    • 0.3.10
    • 0.3.12
    • 0.3.13
    • 0.3.14
    • 0.3.15
    • 0.3.16
    • 0.3.17
    • 0.3.17.dev2
    • 0.3.17.dev3
    • 0.3.17.dev4
    • 0.3.17.dev5
    • 0.3.18
    • 0.3.19
    • 0.3.2
    • 0.3.20
    • 0.3.21
    • 0.3.22
    • 0.3.23
    • 0.3.24
    • 0.3.25
    • 0.3.26
    • 0.3.27
    • 0.3.27.dev1
    • 0.3.27.dev2
    • 0.3.27.dev3
    • 0.3.28
    • 0.3.29
    • 0.3.3
    • 0.3.30
    • 0.3.30.dev1
    • 0.3.30.dev2
    • 0.3.31
    • 0.3.31.dev1
    • 0.3.32
    • 0.3.33.dev1
    • 0.3.4
    • 0.3.5
    • 0.3.6
    • 0.3.7
    • 0.3.8
    • 0.3.9
    Intervalos de versiones afectados
    • ECOSYSTEM: < 0.3.33

    Actualiza a 0.3.33

Fuentes originales

Comprueba tu servidor →