CVE-2026-87999
CVSS 3.1: 7.1/10 · высокий уровень

Пакет: open-webui (PyPI)
Исправлено в: 0.11.1
Опубликовано: 01.10.2026

Описание: Фильтр адресов при серверном фетче URL в ML-сервисе может пропустить внутренние адреса. Сервис спрашивает стандартную библиотеку Python, и часть зарезервированных адресов отвечает «да». Любой аутентифицированный пользователь может направить сервер по этим адресам и прочитать ответ через API. Ответ может попасть в RAG-контекст, а на Azure атакующий сможет дотянуться до платформенного канала. О реальных атаках в данных не сообщают.

Действие: обновиться до 0.11.1.

Карточка OSV · Первоисточник advisory

#llmops #cve_2026_87999