Open WebUI: Gespeicherte Cross-Site-Scripting-Schwachstelle in der DOCX-Vorschau
Zusammenfassung
Open WebUI in den Versionen 0.11.1 bis 0.11.3 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle in der DOCX-Vorschau (DocxPreview.svelte). Ein authentifizierter Benutzer mit Upload-Berechtigung kann einen präparierten DOCX-Anhang senden, der beim Anzeigen durch einen anderen Benutzer Skripte ausführt. Wenn ein Administrator die Datei in der Vorschau öffnet, kann das Skript das Sitzungs-Token aus dem Local Storage auslesen und die Instanz ohne Passwort übernehmen. Der Angriff setzt voraus, dass das Opfer den Anhang öffnet und in die Vorschau wechselt.
Betroffen
- Open WebUI 0.11.1 bis einschliesslich 0.11.3 (vor 0.11.4; GHSA nennt >= 0.11.1, <= 0.11.3)
- Standardkonfiguration ist betroffen
Behoben in
- Open WebUI 0.11.4 (Korrektur in Pull Request #29699)
Umgehung
Unbekannt.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus 'poc' (Proof of Concept vorhanden)
- Automatisierbar: nein
- Technische Auswirkung: total
- Gemeldet mit einem durchgängigen Proof of Concept für die Übernahme des Administratorkontos
Unsere Empfehlung
- Open WebUI auf Version 0.11.4 oder neuer aktualisieren und die offiziellen Releases auf neuere Versionen prüfen
- Bis zur Aktualisierung DOCX-Uploads auf vertrauenswürdige Benutzer beschränken und nicht vertrauenswürdige Anhänge nicht in der Vorschau öffnen, insbesondere nicht als Administrator
- Instanz auf unerwartete Administratorkonten, API-Schlüssel und geänderte Einstellungen prüfen
- Prüfen, ob die früheren DOCX-/Excel-Vorschau-Probleme (GHSA-hcwp-82g6-8wxc, behoben in 0.9.3) ebenfalls für Ihre Version gelten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-f9xp-mfmq-x6cg github.com
- VulnCheck advisory: Open WebUI Stored XSS via DOCX Preview www.vulncheck.com
- OSV: CVE-2026-109290 osv.dev
- GitHub Security Advisory GHSA-hcwp-82g6-8wxc (earlier DOCX/Excel preview XSS) github.com
- Open WebUI v0.11.4 release github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.