Secuno
ENNL
Boek demo

CVE-2026-87996

7.7 HIGHPublieke exploitEPSS 0.21%
  1. Gepubliceerd9 sep 2026

Beschrijving

Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. From 0.9.6 until 0.11.1, SafePlaywrightURLLoader in backend/open_webui/retrieval/web/utils.py validated a user-controlled hostname in Python and then let the Playwright browser resolve it again in the sync and async request interceptors. An authenticated user controlling authoritative DNS could return a public address to validation and an internal address to the browser, exposing responses from internal services or cloud metadata through web search or URL ingestion. This issue is fixed in version 0.11.1.

CVSS 3.1-ontleding

Attack vectorNetwork
Attack complexityLow
Privileges requiredLow
User interactionNone
ScopeChanged
ConfidentialityHigh
IntegrityNone
AvailabilityNone
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Getroffen producten

Openwebui Open Webui≥ 0.9.6 < 0.11.1

Herstel

Opgelost in
Openwebui Open Webui≥ 0.11.1

Referenties

Gerelateerde CVE's

Recente ernstige kwetsbaarheden met hetzelfde zwakhedentype.

CVE-2026-925668.2
DataGear through 6.0.0 contains a server-side request forgery vulnerability in the…
CVE-2026-917488.3
Race condition in Extensions in Google Chrome on on Mac prior to 153.0.8010.47 allowed…
CVE-2026-917438.3
Race condition in Core in Google Chrome prior to 153.0.8010.47 allowed a remote…
CVE-2026-917128.3
Race condition in Extensions in Google Chrome on on Mac prior to 153.0.8010.47 allowed…
CVE-2026-615599.6
`@zereight/mcp-gitlab` is a Model Context Protocol server for GitLab. Starting in…
CVE-2026-545498.3
Meta Ads MCP is a Model Context Protocol (MCP) server that lets AI assistants run Meta…

Veelgestelde vragen

Wordt CVE-2026-87996 actief misbruikt?

CVE-2026-87996 staat niet in de CISA KEV-catalogus. Er bestaat een publieke exploit-referentie, dus behandel het als misbruikbaar. De EPSS-exploitkans is 0.21%.

Hoe ernstig is CVE-2026-87996?

CVE-2026-87996 heeft een CVSS 3.1-basisscore van 7.7, beoordeeld als high. EPSS schat een exploitkans van 0.21%.

Welke producten zijn getroffen door CVE-2026-87996?

Getroffen producten zijn onder meer Openwebui Open Webui.

Hoe verhelp ik CVE-2026-87996?

Werk getroffen software bij naar een opgeloste versie, bijvoorbeeld Openwebui Open Webui 0.11.1 of later, en controleer daarna dat er geen getroffen versies meer in uw inventaris staan.

Hoe Secuno hiermee omgaat

Secuno correleert kwetsbaarheden zoals CVE-2026-87996 dagelijks tegen de werkelijke software-inventaris op elk beheerd apparaat. In plaats van een statische ernst wordt elke match in context gescoord: exploitbeschikbaarheid, EPSS, de blootstelling van het asset en bedrijfskriticiteit bepalen de prioriteit. Als een getroffen versie ergens in uw portfolio aanwezig is, verschijnt die automatisch met een geprioriteerd hersteltraject.

Zie hoe prioritering werktPlan een demo

Data uit de NVD, CISA KEV-catalogus en FIRST EPSS. CVSS 3.1-basisscore getoond indien beschikbaar.