CVE-2026-87011
CVE-2026-87011 · Open WebUI: Unauthenticated requests can stall the server via uncached OIDC fetches in back-channel logout
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. From 0.9.0 until 0.11.1, the unauthenticated POST /oauth/backchannel-logout handler in backend/open_webui/utils/oauth.py fetched the OIDC discovery document and signing keys before validating a submitted logout token. Each request repeated uncached network fetches, and the signing-key lookup blocked the async event loop, so requests carrying invalid tokens could stall the single-worker instance and amplify traffic to the identity provider when ENABLE_OAUTH_BACKCHANNEL_LOGOUT was enabled. This issue is fixed in version 0.11.1.
CVSS 7.5 · Élevée · EPSS 0,6% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: python
Produits et versions concernés
open-webui
- Versions du logiciel
- >= 0.9.0, < 0.11.1: Concernée
Aucun correctif publié
open-webui PyPI
- Versions du logiciel
- 0.10.0
- 0.10.1
- 0.10.2
- 0.11.0
- 0.9.0
- 0.9.1
- 0.9.2
- 0.9.3
- 0.9.4
- 0.9.5
- 0.9.6
- Plages de versions concernées
- ECOSYSTEM: ≥ 0.9.0, < 0.11.1
Mettez à jour vers 0.11.1