CVE-2026-56671

Nome do Software Vulnerável e Versões Afetadas ComfyUI versões anteriores a 0.28.0

Descrição Um invasor remoto não autenticado pode ler arquivos decodificáveis como imagem e enumerar caminhos do host. A função get model preview() em app/model manager.py utiliza os.path.join(folder, filename) com uma captura de rota {filename:.*} irrestrita sem realizar uma verificação de contenção. Isso permite o uso de caminhos absolutos, travessia literal ../, travessia codificada em percentual %2e%2e%2f ou um path index ilimitado para escapar do diretório de modelos. Como o arquivo alvo é processado pelo Pillow e recodificado como WEBP, a divulgação é limitada a arquivos que podem ser decodificados como imagens, embora ainda permita o vazamento de caminhos internos e a enumeração de existência de arquivos.

Recomendações Atualizar para a versão 0.28.0.