FICHE CVE

CVE-2026-59220

Publiée le 2026-07-09 · Dernière modification le 2026-07-10

🇫🇷 EN BREF

Les instances d'Open WebUI auto-hébergées (versions 0.9.2 à 0.9.9) sont vulnérables à une attaque par déni de service. Un utilisateur authentifié peut faire planter la boucle d'événements du système et geler le service pour tous les utilisateurs en envoyant un message de chat spécialement conçu. Cela ne nécessite qu'un compte utilisateur standard et un accès réseau, et aucune interaction d'un tiers n'est nécessaire pour déclencher la panne.

CVSS 3.16.5 MOYENNE

Type de faiblesse

Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-07-09

Dernière modification2026-07-10

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéAucun

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. From 0.9.2 before 0.10.0, the SKILL_MENTION_RE and strip_re regular expressions in backend/open_webui/utils/middleware.py parsed <$skillId|label> skill mentions with overlapping quantifiers, allowing an authenticated chat message containing <$ without a closing > to trigger quadratic backtracking and block the asyncio event loop. This issue is fixed in version 0.10.0.