CVE-2026-88002

Nome do Software Vulnerável e Versões Afetadas Open WebUI versões 0.5.0 até 0.11.0

Descrição Uma falha existe no auxiliar de reconstrução de cadeia de mensagens localizado em backend/open webui/utils/misc.py. O sistema reconstrói o histórico do chat por chave de mapa, mas rastreia as entradas visitadas usando um campo id opcional no corpo da mensagem. Um usuário autenticado com a função padrão pode armazenar mensagens que omitam o campo id e que referenciem umas às outras em um ciclo de parentesco. Isso desencadeia um percurso interminável que bloqueia o loop de eventos asyncio, causando a negação de serviço para todos os usuários, incluindo o acesso ao endpoint /health e funções de administrador. O processo consome CPU e memória excessivas, podendo levar ao encerramento por falta de memória (out-of-memory kill). Como o chat malformado é persistido no banco de dados, o problema permanece ativo mesmo após reinicializações do processo, até que o chat específico seja excluído. A falha pode ser explorada através do endpoint POST /api/v1/chats/new para armazenar o chat malformado e, posteriormente, via GET /api/v1/chats/stats/usage para disparar o loop infinito.

Recomendações Atualize o Open WebUI para a versão 0.11.1.