Veille sécuritéFrontend
P3Élevée
Open WebUI de la version 0.6.33 à toute version antérieure à 0.11.4 permet à un utilisateur authentifié d’enregistrer une URL javascript: dans le champ embed_url d’une citation. Le clic sur la citation d’une conversation partagée peut exécuter un script dans la session de la victime ; aucune exploitation réelle n’est établie par les éléments fournis.
JavaScript
IdentifiantCVE-2026-109291
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.11.4
Source : NVD — CVE-2026-109291
Analyse technique
Le champ citation embed_url accepte une URL javascript: utilisée lors de l’ouverture de la citation.
Impact, versions et correctif
Événement datéLa fiche candidate indique une publication le 2026-10-12 ; l’événement retenu est la publication de la vulnérabilité dans la période demandée.
ImpactLe script exécuté dans la session de la victime peut permettre l’accès à son jeton local et l’usurpation de session.
Versions affectéesOpen WebUI à partir de 0.6.33 et avant 0.11.4
Version corrigée0.11.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.5
Publication2026-10-12T17:17:22.353Z
Mise à jour2026-10-12T17:17:22.353Z
Action recommandée
Mettre à jour vers Open WebUI 0.11.4 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).