CVE-2026-45400

Nome do Software Vulnerável e Versões Afetadas Open WebUI versões anteriores a 0.9.5

Descrição Uma discrepância de processamento entre as bibliotecas urlparse e requests permite a evasão de Server-Side Request Forgery (SSRF). A função validate url() utiliza o urlparse para verificar o nome do host; no entanto, o urlparse e o requests interpretam certas estruturas de URL de forma diferente. Por exemplo, em uma URL como http://127.0.0.1:6666@1.1.1.1, o urlparse identifica o hostname como 1.1.1.1 (um endereço público), enquanto o requests trata a barra invertida como um caractere de caminho e se conecta ao 127.0.0.1 (um endereço interno), ignorando a lógica de validação.

Recomendações Atualizar para a versão 0.9.5.