PT-2026-1996 · Openwebui+1 · Open-Webui

Brandon Niemczyk + 2 · CVE-2026-0766 · Publicado 2026-01-09 · Atualizado 2026-01-23

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Open WebUI (versões afetadas não especificadas)

Descrição Existe uma falha na função load tool module by id do Open WebUI que permite a atacantes remotos executar código arbitrário. É necessária autenticação para a exploração. O problema origina-se da validação insuficiente de entrada fornecida pelo usuário antes de ser utilizada para executar código Python. Uma exploração bem-sucedida permite que um atacante execute código no contexto da conta de serviço.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-0766

ZDI-26-032

Produtos afetados

Open-Webui

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/0xxx/CVE-2026-0766.json · Exploit
• https://twitter.com/CVEnew/status/2014576955484787111 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/2014558838045720708 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-0766 · Nota de Segurança
• https://zerodayinitiative.com/advisories/ZDI-26-032 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-0766 · Aviso do Fabricante