BDU:2026-09669

Опубликовано: 05 мая 2026

Источник: fstec

CVSS3: 8.7

CVSS2: 8.5

EPSS Низкий

Описание

Уязвимость функции sheet_to_html() веб-интерфейса на базе искусственного интеллекта Open WebUI существует из-за непринятия мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить межсайтовые сценарные атаки (XSS)

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Open WebUI

Версия ПО

до 0.8.0 (Open WebUI)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,7)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/open-webui/open-webui/releases?page=3#release-v0.8.0

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://github.com/open-webui/open-webui/security/advisories/GHSA-jwf8-pv5p-vhmc

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-44549
CVE

EPSS

Процентиль: 24%

0.00318

Низкий

8.7 High

CVSS3

8.5 High

CVSS2

Связанные уязвимости

CVE-2026-44549

CVSS3: 7.3

nvd

3 месяца назад

Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.8.0, Excel file attachments are previewed in an unsafe way. A crafted XLSX file payload can be used to cause the sheetjs function sheet_to_html to embed an XSS payload into the generated HTML. This is subsequently added to the DOM unsanitized via @html causing the payload to trigger. This vulnerability is fixed in 0.8.0.

GHSA-jwf8-pv5p-vhmc