CVE-2026-87011 in Open WebUI
Zusammenfassung
von VulDB • 10.09.2026
Open WebUI ist eine erweiterbare, funktionsreiche und benutzerfreundliche selbstgehostete KI-Plattform. Von Version 0.9.0 bis 0.11.1 rief der nicht authentifizierte POST /oauth/backchannel-logout Handler in backend/open_webui/utils/oauth.py das OIDC Discovery-Dokument und die Signierungsschlüssel ab, bevor ein eingereichtes Logout-Token validiert wurde. Jede Anfrage wiederholte zwischenspeichergelose Netzwerkabrufe, und der Lookup der Signierungsschlüssel blockierte den asynchronen Event-Loop, sodass Anfragen mit ungültigen Tokens die Single-Worker-Instanz zum Stillstand bringen und den Traffic zum Identity Provider verstärken konnten, wenn ENABLE_OAUTH_BACKCHANNEL_LOGOUT aktiviert war. Dieses Problem wurde in Version 0.11.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.