CVE-2026-56398

Nome do Software Vulnerável e Versões Afetadas Open WebUI versões anteriores a 0.9.5

Description Um problema de cross-site scripting armazenado existe no fluxo de autenticação OAuth. O sistema infere o tipo MIME da URL de reivindicação de imagem a partir da extensão do arquivo em vez do cabeçalho Content-Type, o que permite que arquivos SVG ignorem o validador de imagem de perfil e sejam armazenados como URIs de dados. Quando usuários autenticados acessam o endpoint de imagem de perfil, eles recebem conteúdo SVG controlado por um invasor. Devido à ausência de cabeçalhos de segurança padrão e ao uso de disposição inline, scripts podem ser executados na mesma origem, levando potencialmente ao roubo de tokens de autenticação e à invasão de contas.

Recommendations Atualize o Open WebUI para a versão 0.9.5 ou posterior.