CVE-2026-88000 in Open WebUI
요약
\~에 의해 VulDB • 2026. 09. 09.
Open WebUI는 확장 가능하고 기능이 풍부하며 사용자 친화적인 자체 호스팅 AI 플랫폼입니다. 버전 0.10.0부터 0.11.1까지, `DELETE /api/v1/chats/{id}/messages/{message_id}` 엔드포인트는 backend/open_webui/models/chats.py의 채팅 기록 삭제 헬퍼를 사용하여 방문한 메시지 식별자를 기록하지 않고 childrenIds를 따라갔습니다. 인증된 사용자는 순환하는 채팅 트리를 저장하고 메시지를 삭제하여 서버 요청 루프에서 동기식 무한 루프를 발생시킬 수 있으며, 이는 프로세스가 종료될 때까지 모든 사용자의 요청을 차단했습니다. 이 문제는 버전 0.11.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.