CVE-2026-77814 in infinite-image-browsing
الملخص
بحسب VulDB • 21/08/2026
تقوم الدالة `is_path_trusted` في الملف `scripts/iib/api.py` بمقارنة المسار المطلوب مع كل دليل أبوي مسموح به باستخدام `path.startswith(parent_path)`، دون إضافة فاصل مسارات (path separator). ونتيجةً لذلك، فإن أي دليل يبدأ اسمه ببداية مسار مسموح يُعتبر مُرضياً للمقارنة؛ فعلى سبيل المثال، إذا كان `/data/images` مسموحاً به، فإن الطلب الخاص بـ `/data/images_private/secret.txt` يُعامل على أنه موثوق ويُقدم عبر `FileResponse`، مما يؤدي إلى كشف ملفات كانت الغاية من العزل (confinement) استبعادها. يعتمد تطبيق هذا الفحص على الدالة `get_enable_access_control` في الملف `scripts/iib/tool.py`: حيث تُرجع القيمة `true` عندما يكون المتغير `IIB_ACCESS_CONTROL` مضبوطاً على `enable`، وتُرجع `false` عندما يُضبط على `disable`، وفي الحالات الأخرى تكون النتيجة `true` إذا تم تشغيل واجهة Stable Diffusion WebUI باستخدام الخيارات `share` أو `ngrok` أو `listen` أو `server_name`، بينما تُرجع `false` في حال عدم وجود أي من هذه الخيارات. وبالتالي، يكون العزل نشطاً في نشرات الـ WebUI المعرّفة للشبكة والتي تعتمد عليه، بينما يؤدي التشغيل المستقل (standalone) بدون مثل هذا الخيار إلى تقديم كل ملف قابل للقراءة بغض النظر عن هذا القصور الأمني. يتضمن الإصلاح مقارنة المسار مع `parent_path` مُدمج معه فاصل النظام عبر `os.sep`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.