CVE-2026-87013 in Open WebUI
要約
〜によって VulDB • 2026年09月09日
Open WebUI は、拡張可能で機能豊富かつユーザーフレンドリーな自己ホスト型 AI プラットフォームです。バージョン 0.10.0 から 0.11.1 の間、POST /api/v1/folders/{id}/update/parent を使用すると、ユーザーがフォルダをそれ自体またはその子孫のいずれかに配置することができました。一方、DELETE /api/v1/folders/{id} および POST /api/v1/folders/{id}/read で使用されるフォルダツリーのウォーク処理は、訪問済みのフォルダ識別子を追跡していませんでした。認証済みユーザーは親サイクルを永続化し、CPU とメモリを無制限に消費するリクエストを開始することができました。この状態は修正されるまで保持されます。本問題はバージョン 0.11.1 で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.