PT-2024-16025 · Comfyui · Comfyui
CVE-2024-10099
·
Publicado
2024-10-17
·
Atualizado
2025-06-15
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
comfyanonymous/comfyui versão 0.2.2 e possivelmente versões anteriores
Descrição
Existe uma vulnerabilidade de cross-site scripting (XSS) armazenada, permitindo que um invasor envie um arquivo HTML com uma carga maliciosa de XSS através do endpoint “/api/upload/image”. A carga é executada quando o arquivo é visualizado através do endpoint da API “/view”, podendo levar à execução de código JavaScript arbitrário.
Recomendações
Para a versão 0.2.2 do comfyanonymous/comfyui e possivelmente versões anteriores, considere desativar o endpoint “/api/upload/image” e restringir o acesso ao endpoint da API “/view” até que uma correção esteja disponível. Evite visualizar arquivos enviados através do endpoint “/api/upload/image” para minimizar o risco de exploração.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Comfyui