PT-2026-20917 · Unknown · Open-Webui

Gg0H · Publicado 2026-02-19 · Atualizado 2026-03-18 · CVE-2026-26192

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Open WebUI anteriores à 0.7.0

Descrição O Open WebUI é uma plataforma de inteligência artificial auto-hospedada projetada para operar totalmente offline. Modificar o histórico de chat antes da versão 0.7.0 permite a manipulação da propriedade html nos metadados do documento. Isso faz com que o frontend interprete o conteúdo do documento como HTML e o renderize dentro de um iFrame quando uma citação é visualizada, resultando em cross-site scripting (XSS) armazenado. O payload é executado quando a citação é visualizada, inclusive em chats compartilhados. O problema envolve um caminho de código acionado por conteúdos de documento tratados como HTML.

Recomendações Atualize para a versão 0.7.0 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-26192

GHSA-XC8P-9RR6-97R2

Produtos afetados

Open-Webui

Referências · 19

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/26xxx/CVE-2026-26192.json · Exploit
• https://github.com/open-webui/open-webui/blob/6f1486ffd0cb288d0e21f41845361924e0d742b3/src/lib/components/chat/Messages/Citations/CitationModal.svelte#L163-L170 · Nota
• https://github.com/open-webui/open-webui/security/advisories/GHSA-xc8p-9rr6-97r2 · Aviso do Fabricante
• https://twitter.com/Prateektomar/status/2032819119763108263 · Publicação no Twitter
• https://twitter.com/Prateektomar/status/2033906288137277887 · Publicação no Twitter
• https://twitter.com/Prateektomar/status/2033543924787319060 · Publicação no Twitter
• https://twitter.com/TomarPrateek23/status/2030644798785560921 · Publicação no Twitter
• https://twitter.com/Prateektomar/status/2034268670424433085 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2025809098382688410 · Publicação no Twitter
• https://twitter.com/Prateektomar/status/2031731973665001773 · Publicação no Twitter
• https://twitter.com/Prateektomar/status/2032094378383319545 · Publicação no Twitter
• https://twitter.com/Prateektomar/status/2033181500783628335 · Publicação no Twitter
• https://twitter.com/Prateektomar/status/2032456730001711320 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-26192 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-26192 · Aviso do Fabricante