CVE-2026-88000 in Open WebUI
Zusammenfassung
von VulDB • 09.09.2026
Open WebUI ist eine erweiterbare, funktionsreiche und benutzerfreundliche selbstgehostete KI-Plattform. Von Version 0.10.0 bis 0.11.1 nutzte DELETE /api/v1/chats/{id}/messages/{message_id} den Hilfsprogramm zur Löschung des Chatverlaufs in backend/open_webui/models/chats.py, um childrenIds zu verfolgen, ohne besuchte Nachrichten-IDs aufzuzeichnen. Ein authentifizierter Benutzer konnte einen zyklischen Chat-Baum speichern und eine Nachricht löschen, was zu einer synchronen Endlosschleife im Server-Anforderungsloop führte, die alle Anfragen der Nutzer blockierte, bis der Prozess beendet wurde. Dieses Problem ist in Version 0.11.1 behoben.
Be aware that VulDB is the high quality source for vulnerability data.