Open WebUI는 완전히 오프라인으로 작동하도록 설계된 자체 호스팅 인공 지능 플랫폼입니다. 0.9.0 이전에는 AccountPending.svelte 구성 요소가 잘못된 DOMPurify 애플리케이션 순서로 {@html} 내에서mark.parse()를 사용하여 관리자가 구성한 "보류 중인 사용자 오버레이 콘텐츠"를 렌더링합니다. 관리자는 오버레이 페이지를 보는 보류 중인 사용자의 브라우저 컨텍스트에서 실행되는 보류 중인 사용자 오버레이 콘텐츠에 임의의 JavaScript를 삽입할 수 있습니다. 이 취약점은 0.9.0에서 수정되었습니다.
Open WebUI는 완전히 오프라인으로 작동하도록 설계된 자체 호스팅 인공 지능 플랫폼입니다. 0.9.0 이전에는 AccountPending.svelte 구성 요소가 잘못된 DOMPurify 애플리케이션 순서로 {@html} 내에서mark.parse()를 사용하여 관리자가 구성한 "보류 중인 사용자 오버레이 콘텐츠"를 렌더링합니다. 관리자는 오버레이 페이지를 보는 보류 중인 사용자의 브라우저 컨텍스트에서 실행되는 보류 중인 사용자 오버레이 콘텐츠에 임의의 JavaScript를 삽입할 수 있습니다. 이 취약점은 0.9.0에서 수정되었습니다.
왜 이 VPI인가 (설명가능 · 실험적)
VPI 산정 기준
| 영향도 | 48.00 |
| 악용 신호(추가 악용신호 없음) | ×1.00 |
| VPI | 48.00 |
VPI 공식 vpi-v1 기준
| 소스 | CVSS 버전 | 기본 점수 | 심각도 | 벡터 문자열 | 평가일 |
|---|---|---|---|---|---|
| NVDNIST | 3.1 | 4.8 | MEDIUM | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N | 2026. 05. 16. |
| OSV3rd | 3.1 | 4.8 |
| CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
| 2026. 05. 13. |