„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-56400 betrifft Open WebUI in Versionen vor 0.3.14. Eine fehlerhafte CORS-Konfiguration (Cross-Origin Resource Sharing) ermöglicht es Angreifern, beliebige Origins zu akzeptieren. Durch gezielte Cross-Site-Requests können Angreifer Code auf der Open-WebUI-Instanz ausführen, wenn ein Administrator eine manipulierte Website besucht. Der Schweregrad wird mit „High“ und einem CVSS-Score von 8.3 bewertet.
Betroffene Systeme
Produkt: Open WebUI
Betroffene Versionen: vor 0.3.14
Angriffsvektor: Netzwerk
Technische Details
Die Vulnerability liegt in der fehlerhaften CORS-Konfiguration des Endpunkts /api/v1/functions. Die Konfiguration mit allow_origins=* akzeptiert Anfragen von beliebigen Quellen. Da auch authentifizierte Requests verarbeitet werden, können Angreifer den Session-Context eines Administrators ausnutzen.
Der Angriffsablauf funktioniert wie folgt: Der Angreifer erstellt eine manipulierte Website und wartet darauf, dass ein Administrator diese besucht. Durch JavaScript-Code wird automatisch eine bösartige Anfrage an den /api/v1/functions-Endpunkt gesendet. Aufgrund der unsicheren CORS-Policy wird diese Cross-Origin-Anfrage verarbeitet. Der Admin-User ist bereits authentifiziert, daher können Funktionen mit erhöhten Rechten ausgeführt werden, was zu willkürlicher Code-Ausführung führt.
Empfohlene Massnahmen
- Sofort-Update: Open WebUI auf Version 0.3.14 oder höher aktualisieren
- CORS-Konfiguration: Explizite Whitelist für vertrauenswürdige Origins implementieren statt Wildcard-Einträge
- Authentifizierung: Token-basierte Authentifizierung überprüfen und Credential-Handling optimieren
- Monitoring: Verdächtige API-Aufrufe auf
/api/v1/functionsüberwachen
Bewertung
Mit einem CVSS-Score von 8.3 stellt diese Lücke eine erhebliche Sicherheitsbedrohung dar. Ein Update wird dringend empfohlen. Die Kombination aus offener CORS-Policy und fehlender Origin-Validierung ermöglicht einfache Angriffsszenarien mit hohem Schadenpotential.
„`