Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-87012 medium CVSS 4.3

Vulnérabilité dans open-webui (CVE-2026-87012)

Résumé

Vulnérabilité dans open-webui (CVE-2026-87012). Risque d'opérations non autorisées ou de divulgation. Exploitable via meta. Atténuation : mise à jour vers 0.11.1 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Any authenticated user can suppress calendar alerts instance-wide via a non-numeric alert value

Summary

Calendar events carry a free-form meta object that is stored exactly as submitted, with no validation of the values inside it. The scheduler reads the per-event alert offset out of that object in a single pass that covers every user's upcoming events, and compares it numerically without checking that it is a number. Any verified user could store a text value there, which made the comparison raise and abort the whole pass, so no calendar reminder fired for anyone on the instance while that event stayed inside the lookahead window.

Preconditions

  • Calendar is enabled (ENABLE_CALENDAR / calendar.enable, default True).
  • The attacker is a verified user (role user or admin) holding the calendar feature permission, which is granted to all users by default (USER_PERMISSIONS_FEATURES_CALENDAR, default True).
  • The event's start time falls inside the scheduler's one hour lookahead window, so the shared alert pass selects it.

No admin access, no shared calendar, no recurrence rule and no open registration are required, an invited account is enough. Deployments running with the calendar disabled, or with the calendar feature permission removed from regular users, are not affected.

Impact

Availability loss on one feature, affecting every user on the instance. While a single event carrying a non-numeric alert value sat in the upcoming window, the shar…

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-87012 a été découverte dans open-webui.
Des attaquants peuvent cibler un point d'entrée spécifique comme meta à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 4.3/10.
Action : mettez à jour open-webui vers 0.11.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « open-webui CVE-2026-87012 » sur le site de l'éditeur.

CVE-2026-87012 (open-webui) — CWE-754 / CVSS v3 4.3
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : meta / ENABLE_CALENDAR / calendar.enable / True
Correctif : 0.11.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-754) affecte open-webui. Les attaquants atteignent le code vulnérable via meta.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de open-webui. Surface d'attaque : meta / ENABLE_CALENDAR / calendar.enable / True.

🔥 Gravité

Gravité : Moyenne (CVSS 4.3/10). Risque d'opérations non autorisées ou de divulgation.

🔧 Comment corriger

Mettre à jour vers 0.11.1.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'open-webui' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で open-webui を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply patch patch 
    Upgrade open-webui to 0.11.1

    ステージング環境で 0.11.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

pip open-webui
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"0.11.1"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus