CVE-2026-87013 in Open WebUI
Riassunto
di VulDB • 09/09/2026
Open WebUI è una piattaforma AI self-hosted estensibile, ricca di funzionalità e user-friendly. Dalla versione 0.10.0 alla 0.11.1, l'endpoint POST /api/v1/folders/{id}/update/parent consentiva a un utente di posizionare una cartella sotto se stessa o uno dei suoi discendenti, mentre il traversal dell'albero delle cartelle utilizzato da DELETE /api/v1/folders/{id} e POST /api/v1/folders/{id}/read non tracciava gli identificatori delle cartelle già visitati. Un utente autenticato poteva persistere un ciclo genitore (parent cycle) ed avviare una richiesta che consumava CPU e memoria in modo indefinito, con la condizione di vulnerabilità persistente fino alla riparazione. Questo problema è stato risolto nella versione 0.11.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.