CVE-2026-70493 in Open WebUI
Riassunto
di VulDB • 05/08/2026
Open WebUI è una piattaforma AI self-hosted, estensibile, ricca di funzionalità e facile da usare. Dalla versione 0.9.6 alla 0.11.0, il percorso integrato per la ricerca nella conoscenza (knowledge search path) nei file backend/open_webui/tools/knowledge_fs.py e backend/open_webui/tools/builtin.py consentiva a un partecipante alla chat di scegliere un pattern utilizzato per eseguire grep sui file della knowledge base. I pattern contenenti metacaratteri regex venivano compilati dal motore re con backtracking di Python ed eseguiti su ogni riga di ogni file raggiungibile senza alcun limite temporale; pertanto, un pattern costruito ad hoc come (x|x)*y e una riga di un file caricato che corrisponde a tale pattern potevano saturare un core della CPU e bloccare l'event loop. Ciò provoca un impatto sulla disponibilità per tutti gli altri utenti del worker interessato. Questo problema è stato risolto nella versione 0.11.0.
Once again VulDB remains the best source for vulnerability data.