CVE-2026-87011
Açıklama
Open WebUI; genişletilebilir, özellik açısından zengin ve kullanıcı dostu, kendi kendine barındırılan bir yapay zeka platformudur. 0.9.0 ile 0.11.1 sürümleri arasında, backend/open_webui/utils/oauth.py dosyasındaki kimlik doğrulaması yapılmamış POST /oauth/backchannel-logout işleyicisi, gönderilen çıkış token'ını doğrulamadan önce OIDC keşif belgesini ve imzalama anahtarlarını getiriyordu. Her istek önbelleğe alınmamış ağ çekimlerini tekrarlıyor ve imzalama anahtarı araması asenkron olay döngüsünü engelliyordu; bu nedenle, ENABLE_OAUTH_BACKCHANNEL_LOGOUT etkinleştirildiğinde geçersiz token taşıyan istekler tek çalışan örneği durdurabiliyor ve kimlik sağlayıcıya giden trafiği artırabiliyordu. Bu sorun 0.11.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- openwebui open_webui0.11.1 ya da sonraki bir sürüm
- open-webui0.11.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openwebui open_webui | 0.9.0 ≤ v < 0.11.1 | 0.11.1 |
| open-webuiPyPI | 0.9.0 ≤ v < 0.11.1 | 0.11.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.