Open WebUI: Datei-Upload-Schwachstelle ermöglicht One-Click-Remote-Code-Execution
Ein einzelner Klick kann Angreifern ermöglichen, eine kritische, ungepatchte Schwachstelle Open WebUI auszunutzen, um die Kontrolle über KI-Arbeitsbereiche zu übernehmen, Remote-Code auszuführen, Konten zu übernehmen
Kurzfassung
Warum das wichtig ist
- Ein einzelner Klick kann Angreifern ermöglichen, eine kritische, ungepatchte Schwachstelle Open WebUI auszunutzen, um die Kontrolle über KI-Arbeitsbereiche zu übernehmen, Remote-Code auszuführen, Konten zu übernehmen
- Administratoren: Wenn ein Administrator oder ein Benutzer mit Workspace-Berechtigungen auf den bösartigen Bildlink klickt, erzielt der Angreifer eine One-Click-Remote-Code-Execution (RCE).
- Das JavaScript erstellt stillschweigend über die Anwendungsschnittstelle ein bösartiges Tool und öffnet einen dauerhaften Backdoor-Zugang.
SvyTech-Check
Redaktionelle Einordnung
Kernpunkt
Ein einzelner Klick kann Angreifern ermöglichen, eine kritische, ungepatchte Schwachstelle Open WebUI auszunutzen, um die Kontrolle über KI-Arbeitsbereiche zu übernehmen, Remote-Code auszuführen, Konten zu...
Warum relevant
Standardbenutzer: Wenn ein regulärer Benutzer auf den Link klickt, löst das Skript einen Account Takeover (ATO) aus.
Einordnung
SvyTech ordnet die Meldung aus Cyber Security News als Teil des Themenfelds Technologie ein und verweist auf den Originalartikel, damit Leser Fakten, Quelle und Kontext nachvollziehen koennen.
Standardbenutzer: Wenn ein regulärer Benutzer auf den Link klickt, löst das Skript einen Account Takeover (ATO) aus. Es extrahiert stillschweigend die Browserdaten des Benutzers, stiehlt seine Authentifizierungstokens und kopiert dessen gesamte Chatverlauf, um die sensiblen Daten an einen externen Server zu senden.
Ist das Opfer bereits angemeldet, ist keine weitere Authentifizierung erforderlich. Der Angriff erfolgt augenblicklich im Hintergrund. Diese Zero-Day-Schwachstelle ist in der Open WebUI-Version 0.7.2 noch nicht behoben. Kandemir meldete das Problem ursprünglich dem Hersteller am 10. März 2026. Am 6.
Mai 2026 schloss das Open WebUI-Team den Bericht jedoch als Duplikat. Es verwies auf eine nicht öffentlich bekannte Sicherheitsmitteilung und teilte dem Forscher UseHacker mit, dass sein Schwachstellenbericht keine offizielle Anerkennung erhalten würde. Laut UseHacker veröffentlichte Kandemir den vollständigen Proof of Concept (PoC) am 8.
Quellenprofil
Quelle und redaktionelle Angaben
- Quelle
- Cyber Security News
- Canonical
- https://cybersecuritynews.com/open-webui-1-click-rce-attack/
- Quell-URL
- https://cybersecuritynews.com/open-webui-1-click-rce-attack/
Aehnliche Inhalte
Verwandte Themen und interne Verlinkung
Weitere Artikel aus aehnlichen Themenfeldern, damit Leser direkt im selben Kontext weiterlesen koennen.
US-Regierung verschärft Kontrolle über KI-Modelle
Die US-Regierung unterwirft das hochkapazitive KI-Modell GPT 5.6 ördlichen Aufsicht und erlaubt nur einen begrenzten Vorschauzugriff, da es als strategischer Vermögenswert mit potenziellen Sicherheitsrisiken betrachtet wird. Diese Maßnahme markiert einen Paradigmenwechsel weg vom reinen technologischen Wettbewerbsvorteil hin zu staatlicher Kontrolle und etabliert dauerhafte Regulierungsmechanismen, die auch andere Technologieunternehmen wie Anthropic sowie zukünftige Entwicklungen in der EU beeinflussen dürften.
26.06.2026
Live Redaktion
