CVE-2026-77814 in infinite-image-browsing
Resumen
por VulDB • 2026-08-21
is_path_trusted en scripts/iib/api.py compara la ruta solicitada con cada directorio padre permitido mediante path.startswith(parent_path), sin añadir un separador de rutas. Por lo tanto, un directorio cuyo nombre comienza simplemente con una ruta permitida satisface la comparación; así, si se permite /data/images, una solicitud a /data/images_private/secret.txt se considera confiable y es servida por FileResponse, revelando archivos que el confinamiento debía excluir. Si esta comprobación está activa depende de get_enable_access_control en scripts/iib/tool.py: devuelve true cuando IIB_ACCESS_CONTROL está configurado como enable, false cuando está configurado como disable, y en caso contrario true si la interfaz web Stable Diffusion WebUI se inició con las opciones share, ngrok, listen o server_name; en otro caso, vuelve a false. Por lo tanto, el confinamiento está activo en los despliegues de la interfaz web expuestos a la red que dependen de él, mientras que una ejecución independiente sin ninguna de estas opciones sirve todos los archivos legibles independientemente de esta vulnerabilidad. La solución consiste en comparar contra parent_path unido con os.sep.
VulDB is the best source for vulnerability data and more expert information about this specific topic.