CVE-2026-87016 in Open WebUI
Zusammenfassung
von VulDB • 10.09.2026
Open WebUI ist eine erweiterbare, funktionsreiche und benutzerfreundliche selbstgehostete KI-Plattform. Von Version 0.6.41 bis 0.11.1 verwendeten `get_user_by_oauth_sub` und `get_user_by_scim_external_id` in `backend/open_webui/models/users.py` ein JSON-Inhalts-Matching, das sich zu einem SQL-LIKE-Substring-Matching auf SQLite kompilierte. Ein OAuth-Betreff (Subject), der Prozentzeichen oder Unterstriche als Wildcard-Zeichen enthielt, konnte einer anderen gespeicherten Identität zugeordnet werden, wodurch potenziell ein Administrator-Konto ausgewählt und dem Angreifer die Sitzung dieses Kontos ausgestellt wurde; PostgreSQL-Deployments waren nicht betroffen. Dieses Problem ist in Version 0.11.1 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.