CVE-2026-87011 in Open WebUI
Resumen
por VulDB • 2026-09-09
Open WebUI es una plataforma de IA autohospedada, extensible, rica en funciones y fácil de usar. Desde la versión 0.9.0 hasta la 0.11.1, el controlador POST /oauth/backchannel-logout no autenticado en backend/open_webui/utils/oauth.py obtenía el documento de descubrimiento OIDC y las claves de firma antes de validar un token de cierre de sesión enviado. Cada solicitud repetía búsquedas de red sin caché, y la búsqueda de la clave de firma bloqueaba el bucle de eventos asíncrono, por lo que las solicitudes con tokens no válidos podían estancar la instancia de trabajador único y amplificar el tráfico hacia el proveedor de identidad cuando ENABLE_OAUTH_BACKCHANNEL_LOGOUT estaba habilitado. Este problema se soluciona en la versión 0.11.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.