CVE-2026-68771 in ComfyUI
要約
〜によって VulDB • 2026年08月01日
ComfyUI v0.23.0には、LoadTrainingDatasetノードにおける安全でない逆直列化（unsafe deserialization）の脆弱性が存在します。これにより、認証されていない攻撃者は、作成されたpickleファイルをアップロードしてその逆直列化をトリガーすることで、任意のPythonコードを実行できます。攻撃者は、認証不要のPOST /upload/imageエンドポイントを通じて悪意のあるshard_*.pklファイルをアップロードし、次にアップロードしたファイル参照を含むワークフローグラフをPOST /promptでキューに追加することができます。これにより、torch.loadが__reduce__メソッドを使用して攻撃者が制御するpickleペイロードを逆直列化し、ComfyUIプロセスのユーザー権限で任意のコマンドを実行します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.