CVE-2026-109297
Publiée le 2026-10-12 · Dernière modification le 2026-10-23
Les versions 0.11.0 à 0.11.3 d'Open WebUI sont vulnérables à une attaque par déni de service via le validateur de règle de récurrence des automatisations. Un utilisateur authentifié peut soumettre une règle d'automatisation spécialement conçue qui bloque la boucle d'événements du système, provoquant ainsi l'arrêt du service pour tous les utilisateurs pendant plusieurs minutes. Cette action est facile à exécuter via le réseau, car elle ne nécessite que des permissions d'utilisateur standard et aucune interaction de la part d'un tiers.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Open WebUI 0.11.0 before 0.11.4 contains a denial of service vulnerability in the automation recurrence-rule validator, whose sub-daily frequency guard parses rule text more strictly than the calendar library that executes it. Users permitted to create automations can submit whitespace-folded rules (or, in 0.11.0, lowercase frequencies or omitted RRULE prefixes) that expand per-second synchronously, blocking the shared event loop for minutes per request and on every scheduler poll.