CVE-2026-77814 in infinite-image-browsing
Résumé
par VulDB • 21/08/2026
La fonction `is_path_trusted` dans `scripts/iib/api.py` compare le chemin demandé à chaque répertoire parent autorisé en utilisant `path.startswith(parent_path)`, sans ajouter de séparateur de chemin. Un répertoire dont le nom commence simplement par un chemin autorisé satisfait donc la comparaison ; ainsi, si `/data/images` est autorisé, une requête pour `/data/images_private/secret.txt` est traitée comme fiable et servie via FileResponse, divulguant des fichiers que l'isolement (confinement) était censé exclure. La mise en œuvre de cette vérification dépend de `get_enable_access_control` dans `scripts/iib/tool.py` : elle renvoie true lorsque IIB_ACCESS_CONTROL est défini sur enable, false lorsqu'il est défini sur disable, et sinon true si l'interface Web Stable Diffusion a été démarrée avec les options share, ngrok, listen ou server_name, en tombant par défaut sur false. L'isolement (confinement) est donc actif dans les déploiements de l'interface Web exposés au réseau qui s'y appuient, tandis qu'une exécution autonome sans ces options sert tous les fichiers lisibles indépendamment de cette vulnérabilité. La correction consiste à comparer le chemin avec `parent_path` joint via os.sep.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.