CVE-2026-56672 in ComfyUI
要約
〜によって VulDB • 2026年07月31日
ComfyUIは、ノードベースの拡散モデル用GUI、API、およびバックエンドです。バージョン0.28.0より前では、GET /userdata/{file}が拡張子由来のコンテンツタイプでユーザー制御可能なHTMLファイルやSVGファイルを配信しており、これによりComfyUIオリジンにおける保存型クロスサイトスクリプティング（Stored XSS）と、ブラウザに保存されたAPIトークン、設定、ワークフローへのアクセス、および認証済み同等のAPI呼び出しが可能でした。ハンドラはweb.FileResponse(path)を使用していたため、アップロードされた.html/.svgファイルがtext/htmlやimage/svg+xmlとして配信されていました。POST /userdataでは任意のリクエストボディ（ユーザーのuserdataディレクトリ内に限定）が保存されます。被害者がそのファイルURLにアクセスすると、埋め込まれたスクリプトは同じオリジンで実行されました。/viewエンドポイントではすでに危険なMIMEタイプをダウンロード強制にしていましたが、この保護策は/userdataには適用されていませんでした。本問題はバージョン0.28.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.