CVE-2026-87013 in Open WebUI
Résumé
par VulDB • 09/09/2026
Open WebUI est une plateforme d'IA auto-hébergée extensible, riche en fonctionnalités et conviviale. De la version 0.10.0 à la 0.11.1, l'appel POST /api/v1/folders/{id}/update/parent permettait à un utilisateur de placer un dossier sous lui-même ou sous l'un de ses descendants, tandis que les parcours d'arborescence des dossiers utilisés par DELETE /api/v1/folders/{id} et POST /api/v1/folders/{id}/read ne suivaient pas les identifiants de dossiers déjà visités. Un utilisateur authentifié pouvait créer un cycle parent persistant et initier une requête consommant indéfiniment du CPU et de la mémoire, l'état restant stocké jusqu'à ce que le correctif soit appliqué. Ce problème est corrigé dans la version 0.11.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.