JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-016356 Open WebUIは完全にオフラインで動作する自己ホスト型の人工知能プラットフォームです。バージョン0.6.5以前では、HTMLレンダリングビューを通じてスクリプトを注入および実行することが可能でした。フロントエンドは、現在のチャットのHTMLコンテンツを可視化する機能を提供しています。このコンテンツは、allow-scripts、allow-forms、allow-same-originのsandboxディレクティブが設定されたiFrameに埋め込まれています。これはコンテンツがサンドボックス内に配置されているものの、スクリプトの実行や親のデータ（例えばローカルストレージ）へのアクセスが許可されていることを意味します。その結果、アラートボックスの表示など一部の機能のみが制限されますが、sandbox属性の効果は実質的にほとんど無効化されています。この脆弱性はバージョン0.6.5で修正されました。 cpe:/a:openwebui:open_webui https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-016356.html Common Vulnerabilities and Exposures (CVE) CVE-2026-45303 https://www.cve.org/CVERecord?id=CVE-2026-45303 National Vulnerability Database (NVD) CVE-2026-45303 https://nvd.nist.gov/vuln/detail/CVE-2026-45303 GitHub Stored XSS via the HTML renedering view Advisory open-webui/open-webui GitHub https://github.com/open-webui/open-webui/security/advisories/GHSA-4vrc-m9ch-6m3r JVNDB CWE-79 https://jvndb.jvn.jp/ja/cwe/CWE-79.html 2026-05-20T13:27:00+09:00 2026-05-20T13:27:00+09:00