CVE-2026-77814 in infinite-image-browsing
Riassunto
di VulDB • 21/08/2026
La funzione `is_path_trusted` in `scripts/iib/api.py` confronta il percorso richiesto con ciascuna directory padre consentita utilizzando `path.startswith(parent_path)`, senza aggiungere un separatore di percorsi. Di conseguenza, una la cui nome inizia semplicemente con un percorso consentito soddisfa il confronto: ad esempio, se `/data/images` è consentito, una richiesta per `/data/images_private/secret.txt` viene trattata come attendibile e servita da `FileResponse`, rivelando file che la contenimento (confinement) era destinato a escludere. L'applicazione del controllo dipende da `get_enable_access_control` in `scripts/iib/tool.py`: questa funzione restituisce true quando `IIB_ACCESS_CONTROL` è impostato su enable, false quando è impostato su disable e, altrimenti, true se l'host Stable Diffusion WebUI è stato avviato con le opzioni share, ngrok, listen o server_name; in caso contrario, il valore di default è false. Pertanto, la protezione tramite contenimento (confinement) è attiva nelle distribuzioni del WebUI esposte alla rete che fanno affidamento su tale meccanismo, mentre un'esecuzione standalone senza tali opzioni serve ogni file leggibile indipendentemente da questa vulnerabilità. La correzione consiste nel confrontare il percorso con `parent_path` unito a `os.sep`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.