Zaloguj się
Deutsch English Español Polski
Wysoka

Open WebUI Uncontrolled Resource Consumption vulnerability

  • Ujawniono: 20.03.2025
  • Aktualizacja: 11.10.2026 13:18

A vulnerability in open-webui/open-webui v0.3.8 allows an unauthenticated attacker to sign up with excessively large text in the 'name' field, causing the Admin panel to become unresponsive. This prevents administrators from performing essential user management actions such as deleting, editing, or adding users. The vulnerability can also be exploited by authenticated users with low privileges, leading to the same unresponsive state in the Admin panel.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) open-webui <= 0.3.8 brak poprawki

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE)
CWE-400
Platforma
Python (PyPI)
Paczka
open-webui
Ujawniono
20.03.2025
Aktualizacja
11.10.2026 13:18

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-1742 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-wcwp-9rcp-jvfg - CC BY 4.0

Historia podatności: open-webui

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (161) w archiwum
Wszystkich wpisów
161
Pierwsza → ostatnia
08.2024 09.2026
Bez poprawki
11
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 77
  • Średnia 75
  • Niska 8

Ujawnienia w latach

Istotność:
  1. Open WebUI Uncontrolled Resource Consumption vulnerability ten wpis
    Wysoka · 7.5 CVE-2024-7036 <= 0.3.8 brak poprawki
  2. Open WebUI: Unauthenticated requests can stall the server via uncached OIDC fetches in back-channel logout
    Wysoka · 7.5 CVE-2026-87011 >= 0.9.0, < 0.11.1 0.11.1
  3. Open WebUI: Sign-in as another user via wildcard characters in the OAuth subject claim on SQLite
    Wysoka · 8.1 CVE-2026-87016 >= 0.6.41, < 0.11.1 0.11.1
  4. Open WebUI: Same-origin XSS to account takeover via terminal port-preview iframe hardcoding allow-same-origin
    Wysoka · 8.7 CVE-2026-87995 >= 0.8.11, < 0.11.1 0.11.1
  5. Open WebUI: SSRF into internal services via DNS rebinding in the Playwright web loader
    Wysoka · 7.7 CVE-2026-87996 >= 0.9.6, < 0.11.1 0.11.1
  6. Open WebUI: Non-admin users can delete admin-owned external knowledge connections via knowledge base deletion
    Wysoka · 7.1 CVE-2026-87998 >= 0.10.0, < 0.11.1 0.11.1
  7. Open WebUI: Any authenticated user can reach the Azure platform channel via server-side web fetch
    Wysoka · 7.1 CVE-2026-87999 < 0.11.1 0.11.1
  8. Open WebUI: A folder write-collaborator can permanently delete the owner's chats by deleting a shared subfolder
    Wysoka · 8.1 CVE-2026-70494 >= 0.10.0, < 0.11.0 0.11.0
  9. Open WebUI: Stored XSS via unescaped KaTeX render-error fallback in rendered messages
    Wysoka · 8.7 CVE-2026-70492 >= 0.10.0, < 0.11.0 0.11.0
  10. Open WebUI: Same-origin XSS to account takeover via terminal file-preview iframe hardcoding allow-same-origin
    Wysoka · 8.2 CVE-2026-70486 >= 0.9.0, < 0.11.0 0.11.0
  11. Open WebUI: Any authenticated user can reach internal services and cloud metadata via NAT64-encoded URLs
    Wysoka · 7.1 CVE-2026-70485 >= 0.9.0, < 0.11.0 0.11.0
  12. Open WebUI: Account takeover via OAuth token exchange accepting tokens issued to any client
    Wysoka · 8.1 CVE-2026-70482 >= 0.8.0, < 0.11.0 0.11.0
  13. Open WebUI: SSRF into internal services via unvalidated sub-resource requests in the Playwright web loader
    Wysoka · 7.7 CVE-2026-70479 >= 0.9.6, < 0.11.0 0.11.0
  14. open-webui terminal proxy path traversal guard bypass via 9x encoded traversal
    Wysoka · 7.7 CVE-2026-59221 >= 0.9.6, < 0.10.0 0.10.0
  15. Open WebUI: Terminal proxy forwards a spoofable, integrity-unbound user identity to the upstream (X-User-Id header and ws_terminal session_id query injection)
    Wysoka · 8.0 CVE-2026-59224 < 0.10.0 0.10.0
  16. Open WebUI: Cross-user code-interpreter and tool execution via unvalidated Socket.IO event-caller session_id
    Wysoka · 7.7 CVE-2026-59216 < 0.10.0 0.10.0
  17. Open WebUI: Cross-channel message overwrite via chat completion API (single-model and multimodel message_ids)
    Wysoka · 7.1 CVE-2026-59714 >= 0.9.5, < 0.10.0 0.10.0
  18. Open WebUI: Realtime endpoints accept Redis-revoked JWTs after signout/backchannel logout
    Wysoka · 7.1 CVE-2026-59219 >= 0.9.0, < 0.10.0 0.10.0
  19. Open WebUI: Stored web worker XSS via Pyodide
    Wysoka · 7.3 CVE-2026-59214 < 0.10.0 0.10.0
  20. Open WebUI vulnerable to Stored XSS via iFrame embeds in response messages
    Wysoka · 7.3 CVE-2026-26193 < 0.6.44 0.6.44
  21. Open WebUI vulnerable to Stored XSS via iFrame in citations model
    Wysoka · 7.3 CVE-2026-26192 < 0.7.0 0.7.0
Pokaż więcej (20) Widać 21 z 78

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.