5.3
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Open WebUI before 0.6.27 contains a server-side request forgery vulnerability in the /api/v1/retrieval/process/web endpoint that allows authenticated users to bypass SSRF protections. Attackers can manipulate URL parameters with location redirect headers to access internal services and potentially execute commands via instance secrets.
Засегнати продукти
- open-webui open-webui: преди 0.6.27; 0.6.27
Вид слабост
История
- 30 юни 2026 Публикувано
Други уязвимости в open-webui open-webui
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-56399
- https://nvd.nist.gov/vuln/detail/CVE-2026-56399
- https://github.com/open-webui/open-webui/security/advisories/GHSA-82r6-c5jm-f3mw
- https://github.com/open-webui/open-webui/commit/02238d3113e966c353fce18f1b65117380896774
- https://www.vulncheck.com/advisories/open-webui-server-side-request-forgery-via-location-redirect-in-api-v1-retrieval-process-web