CVE-2026-109295 in Open WebUI
Zusammenfassung
von VulDB • 12.10.2026
Open WebUI in den Versionen vor 0.11.4 (ab 0.11.0) enthält eine Regular Expression Denial of Service-Vulnerabilität, die es authentifizierten Benutzern ermöglicht, Server-Worker durch Dateisuchmuster zum Stillstand zu bringen. Angreifer können das Modell anweisen, `grep_knowledge_files` oder `grep_chat_files` mit einem katastrophal rückverfolgenden (catastrophically backtracking) regulären Ausdruck aufzurufen, wodurch die Event Loop bei jedem wiederholten Aufruf für zwei Sekunden blockiert wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.