CVE-2026-87011 in Open WebUI
要約
〜によって VulDB • 2026年09月09日
Open WebUIは、拡張可能で機能豊富かつユーザーフレンドリーな自己ホスト型AIプラットフォームです。バージョン0.9.0から0.11.1まで、バックエンドのopen_webui/utils/oauth.pyにある認証不要のPOST /oauth/backchannel-logoutハンドラーは、送信されたログアウトトークンの検証前にOIDCディスカバリドキュメントと署名キーを取得していました。各リクエストでキャッシュされていないネットワークフェッチが繰り返され、さらに署名キーの参照処理が非同期イベントループをブロックするため、ENABLE_OAUTH_BACKCHANNEL_LOGOUTが有効な場合、無効なトークンを含むリクエストによってシングルスレッドインスタンスがストールし、IDプロバイダへのトラフィックが増幅される可能性があります。この問題はバージョン0.11.1で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.