Aller au contenu principal
HIGH

CVE-2025-64496

CVSS v3

8

HIGH

Score EPSS

7.8 %

probabilité d’exploitation au 2026-10-05

CISA KEV

Non

exploitation connue

Exploitation

—

statut SSVC

Description

Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Versions 0.6.224 and prior contain a code injection vulnerability in the Direct Connections feature that allows malicious external model servers to execute arbitrary JavaScript in victim browsers via Server-Sent Event (SSE) execute events. This leads to authentication token theft, complete account takeover, and when chained with the Functions API, enables remote code execution on the backend server. The attack requires the victim to enable Direct Connections (disabled by default) and add the attacker's malicious model URL, achievable through social engineering of the admin and subsequent users. This issue is fixed in version 0.6.35.

Détails techniques

Publiée le
2025-11-08

Questions fréquentes

Qu’est-ce que CVE-2025-64496 ?

Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Versions 0.6.224 and prior contain a code injection vulnerability in the Direct Connections feature that allows malicious external model servers to execute arbitrary JavaScript in victim browsers via Server-Sent Event (SSE) execute events. This leads to authentication token theft, complete account takeover, and when chained with the Functions API, enables remote code execution on the backend server. The attack requires the victim to enable Direct Connections (disabled by default) and add the attacker's malicious model URL, achievable through social engineering of the admin and subsequent users. This issue is fixed in version 0.6.35.

CVE-2025-64496 est-elle activement exploitée ?

Aucune exploitation active de CVE-2025-64496 n’est confirmée. Son score EPSS était de 7.8 % au 2026-10-05, soit la probabilité estimée d’exploitation dans les 30 prochains jours.

Quel est le score CVSS de CVE-2025-64496 ?

CVE-2025-64496 a un score de base CVSS v3 de 8 (gravité HIGH).

CVE-2025-64496 touche-t-elle votre environnement ?

Utilisez isMalicious pour vérifier si l’une de vos IP ou l’un de vos domaines est associé aux IOC de cette vulnérabilité.

Vérifier une IPRechercher des CVEIntégrations SIEM et TIP

Sans carte bancaire · 50 vérifications gratuites par mois · Clé API gratuite

Autres vulnérabilités 2025 à trier

Classées par probabilité d’exploitation (EPSS).

Retour à la base de CVE