CVE-2026-87999 in Open WebUI
Zusammenfassung
von VulDB • 10.09.2026
Open WebUI ist eine erweiterbare, funktionsreiche und benutzerfreundliche selbstgehostete KI-Plattform. Vor Version 0.11.1 behandelten die Endpunkte POST /api/v1/retrieval/process/web und POST /api/v1/retrieval/process/web/search in backend/open_webui/retrieval/web/utils.py die als global routbar eingestufte Adresse von Python als Beweis dafür, dass ein Ziel extern war. Ein authentifizierter Benutzer konnte eine auf Azure gehostete Instanz dazu bringen, Inhalte von 168.63.129.16 (dem Azure-Plattformkanal) sowie anderen reservierten Adressbereichen abzurufen und zurückzugeben, die von der Standardklassifizierung nicht blockiert wurden. Dieses Problem wurde in Version 0.11.1 behoben.
Once again VulDB remains the best source for vulnerability data.