Se ha descubierto una vulnerabilidad crítica de Stored Cross-Site Scripting (XSS) en Open WebUI, específicamente en la función de carga de imágenes de perfil. Según el investigador Metin Yunus Kandemir, un solo clic podría permitir que los atacantes tomen el control de los espacios de trabajo de IA, ejecuten código remoto, secuestren cuentas y roben historiales de chat confidenciales.

Un solo clic puede permitir que los atacantes exploten un fallo crítico y sin parchear en Open WebUI para tomar el control de espacios de trabajo de IA, ejecutar código remoto, secuestrar cuentas y robar historiales de chat confidenciales.

Descubierta por el investigador de seguridad Metin Yunus Kandemir, la vulnerabilidad surge de un fallo de Cross-Site Scripting (XSS) almacenado en la función de carga de imágenes de perfil de la plataforma.

Debido a que los desarrolladores se negaron a reconocer el hallazgo, el código del exploit es ahora público, dejando a los usuarios expuestos.

El fallo reside en cómo Open WebUI procesa las imágenes de perfil de los usuarios. Cuando un usuario sube una imagen, la aplicación depende del archivo  /backend/open_webui/routers/users.py para manejar los datos.

Desafortunadamente, el código no restringe los tipos de archivos multimedia que los usuarios pueden subir.

En lugar de subir un JPEG o PNG estándar, un atacante puede subir un archivo SVG malicioso que contenga una carga útil de JavaScript codificada en Base64.

Debido a que la aplicación utiliza una disposición de contenido "inline", no obliga al navegador a descargar el archivo.

En su lugar, cuando una víctima visita el enlace de la imagen, su navegador ejecuta inmediatamente el JavaScript oculto.

RCE de carga de archivos en Open WebUI

La gravedad del ataque depende totalmente del nivel de permisos de la víctima dentro del entorno de Open WebUI:

• Administradores: Si un administrador o un usuario con privilegios de espacio de trabajo hace clic en el enlace de la imagen maliciosa, el atacante logra una Ejecución Remota de Código (RCE) de 1 clic. El JavaScript crea silenciosamente una herramienta maliciosa a través de la API de la aplicación, abriendo una puerta trasera permanente.
  
• Usuarios estándar: Si un usuario normal hace clic en el enlace, el script provoca una toma de control de la cuenta (ATO). Extrae silenciosamente el almacenamiento del navegador del usuario para robar sus tokens de autenticación y copia enteramente su historial de chat, enviando los datos privados a un servidor externo.

Si la víctima ya ha iniciado sesión, no se requiere ninguna otra autenticación. El ataque ocurre instantáneamente en segundo plano.

Esta vulnerabilidad de día cero permanece sin parchear en la versión 0.7.2 de Open WebUI. Kandemir informó originalmente del problema al proveedor el 10 de marzo de 2026.

Sin embargo, el 6 de mayo de 2026, el equipo de Open WebUI cerró el informe considerándolo como un duplicado.

Hicieron referencia a un aviso de seguridad no revelado e informaron al investigador UseHacker que su informe de vulnerabilidad no recibiría reconocimiento oficial.

Según UseHacker, Kandemir publicó la Prueba de Concepto (PoC) completa el 8 de mayo de 2026, creyendo que la respuesta violaba las políticas de divulgación responsable.

Dado que no se ha lanzado ningún parche oficial, las organizaciones que utilizan Open WebUI deben implementar defensas manuales para proteger sus entornos.

• Restringir tipos de archivos: Los administradores deben modificar el código del backend para aplicar una lista de permitidos estricta para la variable media_type.
  
  Solo deben aceptarse formatos seguros como  image/png, image/jpeg, image/gif, y image/webp. Asegúrate de que image/svg+xml esté totalmente bloqueado.
  
• Evitar enlaces sospechosos: Hasta que se despliegue un parche, debes extremar la precaución.
  
  No hagas clic en enlaces inesperados que redirijan a la aplicación Open WebUI, especialmente URLs que contengan /profile/image o /auth?redirect=.

Fuentes:
https://cybersecuritynews.com/open-webui-1-click-rce-attack/