Vulnerability Details CVE-2026-56400
open-webui before 0.3.14 contains a cross-origin resource sharing misconfiguration allowing arbitrary origins with allow_origins=* and authenticated requests to the /api/v1/functions endpoint. Attackers can execute arbitrary code on the openwebui instance by crafting malicious cross-site requests from attacker-controlled websites when an admin user visits them.
Exploit prediction scoring system (EPSS) score
EPSS Score 0.003
EPSS Ranking 17.9%
CVSS Severity
CVSS v3 Score 8.3
References
Products affected by CVE-2026-56400
-
cpe:2.3:a:openwebui:open_webui:-
-
cpe:2.3:a:openwebui:open_webui:0.1.102
-
cpe:2.3:a:openwebui:open_webui:0.1.103
-
cpe:2.3:a:openwebui:open_webui:0.1.104
-
cpe:2.3:a:openwebui:open_webui:0.1.105
-
cpe:2.3:a:openwebui:open_webui:0.1.106
-
cpe:2.3:a:openwebui:open_webui:0.1.107
-
cpe:2.3:a:openwebui:open_webui:0.1.108
-
cpe:2.3:a:openwebui:open_webui:0.1.109
-
cpe:2.3:a:openwebui:open_webui:0.1.110
-
cpe:2.3:a:openwebui:open_webui:0.1.111
-
cpe:2.3:a:openwebui:open_webui:0.1.112
-
cpe:2.3:a:openwebui:open_webui:0.1.113
-
cpe:2.3:a:openwebui:open_webui:0.1.114
-
cpe:2.3:a:openwebui:open_webui:0.1.115
-
cpe:2.3:a:openwebui:open_webui:0.1.116
-
cpe:2.3:a:openwebui:open_webui:0.1.117
-
cpe:2.3:a:openwebui:open_webui:0.1.118
-
cpe:2.3:a:openwebui:open_webui:0.1.119
-
cpe:2.3:a:openwebui:open_webui:0.1.120
-
cpe:2.3:a:openwebui:open_webui:0.1.121
-
cpe:2.3:a:openwebui:open_webui:0.1.122
-
cpe:2.3:a:openwebui:open_webui:0.1.123
-
cpe:2.3:a:openwebui:open_webui:0.1.124
-
cpe:2.3:a:openwebui:open_webui:0.1.125
-
cpe:2.3:a:openwebui:open_webui:0.2.0
-
cpe:2.3:a:openwebui:open_webui:0.2.1
-
cpe:2.3:a:openwebui:open_webui:0.2.2
-
cpe:2.3:a:openwebui:open_webui:0.2.3
-
cpe:2.3:a:openwebui:open_webui:0.2.4
-
cpe:2.3:a:openwebui:open_webui:0.2.5
-
cpe:2.3:a:openwebui:open_webui:0.3.0
-
cpe:2.3:a:openwebui:open_webui:0.3.1
-
cpe:2.3:a:openwebui:open_webui:0.3.10
-
cpe:2.3:a:openwebui:open_webui:0.3.11
-
cpe:2.3:a:openwebui:open_webui:0.3.12
-
cpe:2.3:a:openwebui:open_webui:0.3.13
-
cpe:2.3:a:openwebui:open_webui:0.3.2
-
cpe:2.3:a:openwebui:open_webui:0.3.3
-
cpe:2.3:a:openwebui:open_webui:0.3.4
-
cpe:2.3:a:openwebui:open_webui:0.3.5
-
cpe:2.3:a:openwebui:open_webui:0.3.6
-
cpe:2.3:a:openwebui:open_webui:0.3.7
-
cpe:2.3:a:openwebui:open_webui:0.3.8
-
cpe:2.3:a:openwebui:open_webui:0.3.9