Veille sécuritéFrontend
P3Élevée
Open WebUI avant 0.11.4 ne valide pas le schéma des URL de liens Markdown, permettant à un utilisateur authentifié d’insérer un lien javascript: dans une conversation partagée. Si une victime clique dessus, le JavaScript peut accéder au JWT conservé dans le stockage local ; aucune exploitation réelle n’est établie par les éléments fournis.
JavaScript
IdentifiantCVE-2026-109288
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.11.4
Source : NVD — CVE-2026-109288
Analyse technique
MarkdownInlineTokens.svelte rend les URL des liens Markdown dans des attributs href sans vérifier leur schéma.
Impact, versions et correctif
Événement datéLa fiche candidate indique une publication le 2026-10-12 ; l’événement retenu est la publication de la vulnérabilité dans la période demandée.
ImpactUn clic sur le lien peut exécuter du JavaScript dans le navigateur de la victime et exposer son JWT.
Versions affectéesOpen WebUI avant 0.11.4
Version corrigée0.11.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-10-12T17:17:21.913Z
Mise à jour2026-10-12T17:17:21.913Z
Action recommandée
Mettre à jour vers Open WebUI 0.11.4 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).