Veille sécuritéFrontend
P4Moyenne
Open WebUI de la version 0.6.31 à toute version antérieure à 0.11.4 comporte une XSS stockée dans le rendu Markdown de contenus de conversation et de citations. Des utilisateurs authentifiés peuvent créer des contenus dont les embeds s’exécutent dans des iframes avec scripts activés ; le détournement de session est signalé lorsque iframeSandboxAllowSameOrigin est activé.
JavaScript
IdentifiantCVE-2026-109300
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.11.4
Source : NVD — CVE-2026-109300
Analyse technique
Le rendu traite des blocs details de tool-call fournis par l’utilisateur comme des sorties d’outil et monte leur attribut embeds dans des iframes avec scripts activés.
Impact, versions et correctif
Événement datéLa fiche candidate indique une publication le 2026-10-12 ; l’événement retenu est la publication de la vulnérabilité dans la période demandée.
ImpactL’exécution de JavaScript dans le navigateur peut servir à l’hameçonnage dans l’application ou, selon la configuration, au détournement de session.
Versions affectéesOpen WebUI à partir de 0.6.31 et avant 0.11.4
Version corrigée0.11.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-12T17:17:23.700Z
Mise à jour2026-10-12T17:17:23.700Z
Action recommandée
Mettre à jour vers Open WebUI 0.11.4 ou une version ultérieure ; examiner la configuration iframeSandboxAllowSameOrigin.
Sources
Priorisation DFS : P4 · 1 source(s).