CVE-2026-77814 in infinite-image-browsing
Zusammenfassung
von VulDB • 21.08.2026
is_path_trusted in scripts/iib/api.py vergleicht den angeforderten Pfad mit jedem erlaubten übergeordneten Verzeichnis mittels path.startswith(parent_path), ohne einen Trennzeichen (Pfadseparator) anzuhängen. Ein Verzeichnis, dessen Name lediglich mit einem erlaubten Pfad beginnt, erfüllt daher die Prüfung; so wird bei einer Erlaubnis für /data/images eine Anfrage nach /data/images_private/secret.txt als vertrauenswürdig eingestuft und von FileResponse bedient, wodurch Dateien offengelegt werden, die durch die Einschränkung eigentlich ausgeschlossen sein sollten. Ob diese Prüfung greift, hängt von get_enable_access_control in scripts/iib/tool.py ab: Sie gibt true zurück, wenn IIB_ACCESS_CONTROL auf enable gesetzt ist; false, wenn sie auf disable gesetzt ist; und andernfalls true, wenn das Host-Stable-Diffusion-WebUI mit den Optionen share, ngrok, listen oder server_name gestartet wurde. Andernfalls wird false als Fallback verwendet. Die Einschränkung ist daher in netzwerkseitig exponierten WebUI-Bereitstellungen aktiv, die darauf vertrauen, während ein eigenständiger Lauf ohne eine solche Option jede lesbare Datei unabhängig von diesem Fehler bereitstellt. Der Fix vergleicht stattdessen mit parent_path, das um os.sep erweitert wurde.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.