CVE-2026-65012

Nome do Software Vulnerável e Versões Afetadas InvokeAI versões anteriores a 6.13.7

Description Um problema de enumeração de diretórios não autenticado existe no endpoint 'GET /api/v2/models/scan folder'. O endpoint aceita um parâmetro scan path que pode ser controlado por um invasor, permitindo a enumeração recursiva de diretórios arbitrários no sistema de arquivos do servidor. Ao analisar os códigos de resposta HTTP, um invasor pode determinar se arquivos existem e são legíveis, ignorando os controles de acesso implementados para o modo multiusuário.

Recommendations Atualize para a versão 6.13.7 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint 'GET /api/v2/models/scan folder' ou evite usar o parâmetro scan path até que a atualização seja aplicada.