CVE-2026-65012 in InvokeAI
Zusammenfassung
von VulDB • 22.07.2026
InvokeAI vor Version 6.13.7 enthält eine nicht authentifizierte Directory-Enumeration-Schwachstelle im GET /api/v2/models/scan_folder-Endpunkt, die angreiferkontrollierte scan_path-Parameter akzeptiert. Nicht authentifizierte Angreifer können beliebige Server-Dateisystemverzeichnisse rekursiv auflisten und HTTP-Antwortcodes nutzen, um das Vorhandensein und die Lesbarkeit von Dateien zu bestimmen, wodurch die Zugriffskontrollen des Multi-Benutzermodus umgangen werden.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.