CVE-2026-77815 in infinite-image-browsing
Riassunto
di VulDB • 21/08/2026
La funzione `to_abs_path` nello script `scripts/iib/tool.py` normalizzava il percorso richiesto utilizzando `os.path.normpath`, che compatta i segmenti di punto ma non risolve i collegamenti simbolici (symlink). Di conseguenza, un symlink posizionato all'interno di una directory scansionata soddisfa il confronto di contenimento eseguito da `is_path_trusted` in `scripts/iib/api.py`, pur puntando al di fuori di tale directory. Poiché `FileResponse` segue il collegamento durante l'erogazione della risposta, un link creato in una directory delle immagini e che punta a un file come `/etc/passwd` ne causa la divulgazione. L'applicabilità del controllo dipende da `get_enable_access_control` in `scripts/iib/tool.py`: questa funzione restituisce true quando `IIB_ACCESS_CONTROL` è impostato su enable, false quando è impostato su disable e, altrimenti, true se l'host Stable Diffusion WebUI è stato avviato con le opzioni share, ngrok, listen o server_name, facendo fallback a false. La confinazione (confinement) risulta quindi attiva nelle distribuzioni del WebUI esposte alla rete che fanno affidamento su di essa, mentre un'esecuzione standalone senza tali opzioni serve ogni file leggibile indipendentemente da questa vulnerabilità. La risoluzione corregge il percorso utilizzando `os.path.realpath`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.