CVE-2026-70493 in Open WebUI
Zusammenfassung
von VulDB • 05.08.2026
Open WebUI ist eine erweiterbare, funktionsreiche und benutzerfreundliche selbstgehostete KI-Plattform. Von Version 0.9.6 bis 0.11.0 ermöglicht der integrierte Wissenssuchpfad in backend/open_webui/tools/knowledge_fs.py und backend/open_webui/tools/builtin.py einem Chat-Teilnehmer, ein Muster zur Suche (grep) von Wissensdateien auszuwählen. Muster, die Regex-Metazeichen enthalten, wurden mit dem backtracking-basierten re-Engine von Python kompiliert und gegen jede Zeile jeder erreichbaren Datei ohne Zeitbegrenzung ausgeführt. Ein speziell angefertigtes Muster wie `(x|x)*y` in Kombination mit einer passenden Zeile in einer hochgeladenen Datei kann einen CPU-Kern auslasten (pin) und die Event-Loop blockieren. Dies führt zu Verfügbarkeitsproblemen für alle anderen Benutzer des betroffenen Workers. Dieses Problem wurde in Version 0.11.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.