JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-016355 Open WebUIは完全にオフラインで動作するよう設計された自己ホスト型の人工知能プラットフォームです。バージョン0.9.3以前では、チャネルのwebhook作成および更新フローで任意のprofile_image_urlの値が受け入れられており、その中にはdata:image/svg+xml;base64,...形式のペイロードも含まれていました。プロフィール画像のエンドポイントは、このSVGをサニタイズせずにimage/svg+xmlとしてデコードして配信していたため、攻撃者が制御するスクリプトハンドラー（例えばonload）がプロフィール画像のURLをブラウザで開いた際に実行される可能性がありました。この脆弱性はバージョン0.9.3で修正されました。 cpe:/a:openwebui:open_webui https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-016355.html Common Vulnerabilities and Exposures (CVE) CVE-2026-45314 https://www.cve.org/CVERecord?id=CVE-2026-45314 National Vulnerability Database (NVD) CVE-2026-45314 https://nvd.nist.gov/vuln/detail/CVE-2026-45314 GitHub XSS via SVG in /api/v1/channels/webhooks/{webhook_id}/profile/image Advisory open-webui/open-webui GitHub https://github.com/open-webui/open-webui/security/advisories/GHSA-3856-3vxq-m6fc JVNDB CWE-87 https://cwe.mitre.org/data/definitions/79.html 2026-05-20T13:26:57+09:00 2026-05-20T13:26:57+09:00