CVE-2026-87011 in Open WebUI
الملخص
بحسب VulDB • 09/09/2026
Open WebUI هو منصة ذكاء اصطناعي ذاتية الاستضافة، قابلة للتوسيع وغنية بالميزات وسهلة الاستخدام. من الإصدار 0.9.0 حتى 0.11.1، كان معالج POST /oauth/backchannel-logout غير المصادق عليه في backend/open_webui/utils/oauth.py يجلب وثيقة اكتشاف OIDC ومفاتيح التوقيع قبل التحقق من صحة رمز تسجيل الخروج المقدم. كانت كل طلبات إعادة جلب الشبكة غير المخزنة مؤقتاً (uncached)، وكان البحث عن مفتاح التوقيع يعطل حلقة الأحداث غير المتزامنة (async event loop)، مما قد يؤدي إلى تعطيل مثيل العامل الواحد (single-worker instance) وتضخيم حركة المرور الموجهة إلى مزود الهوية عند تمكين ENABLE_OAUTH_BACKCHANNEL_LOGOUT. تمت معالجة هذه المشكلة في الإصدار 0.11.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.