CVE-2026-88002 in Open WebUI
Résumé
par VulDB • 09/09/2026
Open WebUI est une plateforme d'IA auto-hébergée extensible, riche en fonctionnalités et conviviale. De la version 0.5.0 à la 0.11.1, l'aide à la reconstruction de la chaîne de messages dans backend/open_webui/utils/misc.py avançait dans l'historique des conversations via une clé de dictionnaire (map key), mais suivait les entrées visitées en utilisant le champ id optionnel du corps de chaque message. Un utilisateur authentifié pouvait stocker des messages sans identifiant au sein d'un cycle parent, déclenchant ainsi une boucle infinie qui bloquait la boucle d'événements asynchrone (async event loop), faisait croître l'utilisation mémoire jusqu'à l'arrêt du processus et persistait à travers les redémarrages. Ce problème est corrigé dans la version 0.11.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.