CVE-2026-87012

Nome do Software Vulnerável e Versões Afetadas Open WebUI versões 0.9.0 a 0.11.0

Description Existe um problema no modelo de evento de calendário em backend/open webui/models/calendar.py onde o valor meta.alert minutes é armazenado sem validação de tipo. Como o agendador de eventos futuros compartilhado compara esse valor numericamente em uma única passagem para todos os usuários, um usuário autenticado com permissões de calendário pode armazenar um valor não numérico na variável meta.alert minutes. Essa ação dispara uma exceção que aborta o processo de alerta de toda a instância, suprimindo os lembretes de calendário para todos os usuários da plataforma enquanto o evento malicioso permanecer na janela de previsão de uma hora do agendador. Isso resulta em uma perda de disponibilidade do recurso de alerta de calendário em toda a instância, embora outras funções, como chat, temporizadores e a API HTTP, permaneçam operacionais.

Recommendations Atualizar para a versão 0.11.1. Como mitigação temporária, restrinja a permissão do recurso de calendário para usuários comuns ou desative completamente a funcionalidade de calendário através da configuração ENABLE CALENDAR ou calendar.enable.