Heimdall Security Logo

CVE-2026-109292

Vulnérabilité élevée dans open-webui (open-webui)

CVSS 7.6 · Élevée
EPSS 0.3%
open-webui•open-webui•Versions : <0.11.4, 0.11.4, 0.6.27

Description

Open WebUI from 0.6.27 before 0.11.4 contains an information disclosure vulnerability that allows destination servers to obtain user session cookies by receiving the full browser cookie jar on OAuth-mode connections. Operators of OpenAI-compatible connections, OpenAPI tool servers or terminal servers can capture forwarded session cookies from routine requests and replay them to hijack accounts, including administrators.

Gravité et risque d'exploitation

CVE-2026-109292 obtient un score CVSS de 7.6/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.32 %, ce qui la place devant 23.8 % des CVE référencées.

Que faire ?

  • Vérifiez si open-webui (versions <0.11.4, 0.11.4, 0.6.27) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE