Vulnerability Details CVE-2026-59715
Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. From 0.6.16 before 0.10.0, the Socket.IO server is configured with always_connect=True. The ydoc:awareness:update and ydoc:document:leave Socket.IO handlers accepted collaborative-document events without requiring an authenticated user, allowing unauthorized manipulation of document collaboration state. This issue is fixed in version 0.10.0.
Exploit prediction scoring system (EPSS) score
EPSS Score 0.002
EPSS Ranking 12.7%
CVSS Severity
CVSS v3 Score 3.1
References
- https://github.com/open-webui/open-webui/commit/22f2fe1ffb66c993dad1e0b2b35514acaed2370e
- https://github.com/open-webui/open-webui/pull/25946
- https://github.com/open-webui/open-webui/releases/tag/v0.10.0
- https://github.com/open-webui/open-webui/security/advisories/GHSA-gmfw-g93r-vg53
- https://github.com/open-webui/open-webui/security/advisories/GHSA-gmfw-g93r-vg53
Products affected by CVE-2026-59715
-
cpe:2.3:a:openwebui:open_webui:0.6.16
-
cpe:2.3:a:openwebui:open_webui:0.6.17
-
cpe:2.3:a:openwebui:open_webui:0.6.18
-
cpe:2.3:a:openwebui:open_webui:0.6.19
-
cpe:2.3:a:openwebui:open_webui:0.6.20
-
cpe:2.3:a:openwebui:open_webui:0.6.21
-
cpe:2.3:a:openwebui:open_webui:0.6.22
-
cpe:2.3:a:openwebui:open_webui:0.6.23
-
cpe:2.3:a:openwebui:open_webui:0.6.24
-
cpe:2.3:a:openwebui:open_webui:0.6.25
-
cpe:2.3:a:openwebui:open_webui:0.6.26
-
cpe:2.3:a:openwebui:open_webui:0.6.27
-
cpe:2.3:a:openwebui:open_webui:0.6.28
-
cpe:2.3:a:openwebui:open_webui:0.6.29
-
cpe:2.3:a:openwebui:open_webui:0.6.30
-
cpe:2.3:a:openwebui:open_webui:0.6.31
-
cpe:2.3:a:openwebui:open_webui:0.6.32
-
cpe:2.3:a:openwebui:open_webui:0.6.33
-
cpe:2.3:a:openwebui:open_webui:0.6.34
-
cpe:2.3:a:openwebui:open_webui:0.6.35
-
cpe:2.3:a:openwebui:open_webui:0.6.36
-
cpe:2.3:a:openwebui:open_webui:0.6.37
-
cpe:2.3:a:openwebui:open_webui:0.6.38
-
cpe:2.3:a:openwebui:open_webui:0.6.39
-
cpe:2.3:a:openwebui:open_webui:0.6.40
-
cpe:2.3:a:openwebui:open_webui:0.6.41
-
cpe:2.3:a:openwebui:open_webui:0.6.42
-
cpe:2.3:a:openwebui:open_webui:0.6.43
-
cpe:2.3:a:openwebui:open_webui:0.6.44
-
cpe:2.3:a:openwebui:open_webui:0.7.0
-
cpe:2.3:a:openwebui:open_webui:0.7.1
-
cpe:2.3:a:openwebui:open_webui:0.7.2
-
cpe:2.3:a:openwebui:open_webui:0.8.0
-
cpe:2.3:a:openwebui:open_webui:0.8.1
-
cpe:2.3:a:openwebui:open_webui:0.8.10
-
cpe:2.3:a:openwebui:open_webui:0.8.11
-
cpe:2.3:a:openwebui:open_webui:0.8.12
-
cpe:2.3:a:openwebui:open_webui:0.8.2
-
cpe:2.3:a:openwebui:open_webui:0.8.3
-
cpe:2.3:a:openwebui:open_webui:0.8.4
-
cpe:2.3:a:openwebui:open_webui:0.8.5
-
cpe:2.3:a:openwebui:open_webui:0.8.6
-
cpe:2.3:a:openwebui:open_webui:0.8.7
-
cpe:2.3:a:openwebui:open_webui:0.8.8
-
cpe:2.3:a:openwebui:open_webui:0.8.9
-
cpe:2.3:a:openwebui:open_webui:0.9.0
-
cpe:2.3:a:openwebui:open_webui:0.9.1
-
cpe:2.3:a:openwebui:open_webui:0.9.2
-
cpe:2.3:a:openwebui:open_webui:0.9.3
-
cpe:2.3:a:openwebui:open_webui:0.9.4
-
cpe:2.3:a:openwebui:open_webui:0.9.5
-
cpe:2.3:a:openwebui:open_webui:0.9.6