CVE-2026-77814 in infinite-image-browsing
Сводка
по VulDB • 21.08.2026
В функции `is_path_trusted` в файле `scripts/iib/api.py` запрошенный путь сравнивается с каждым из разрешенных родительских каталогов с помощью метода `path.startswith(parent_path)` без добавления разделителя путей. В результате директория, имя которой просто начинается как допустимый путь, проходит проверку; например, если `/data/images` является разрешенным путем, запрос для файла `/data/images_private/secret.txt` будет считаться доверенным и обслужен через `FileResponse`, что приведет к раскрытию файлов, которые система изоляции (confinement) должна была исключить.
Применимость этой проверки зависит от функции `get_enable_access_control` в файле `scripts/iib/tool.py`: она возвращает значение `true`, когда переменная окружения `IIB_ACCESS_CONTROL` установлена в `enable`; `false`, когда установлено значение `disable`; и по умолчанию возвращает `true`, если веб-интерфейс Stable Diffusion WebUI был запущен с флагами `share`, `ngrok`, `listen` или параметром `server_name`. В остальных случаях возвращается `false`.
Таким образом, изоляция (confinement) активна в развертываниях веб-интерфейса, доступных через сеть и полагающихся на эту защиту. Однако при автономном запуске без указанных опций каждый читаемый файл обслуживается независимо от данной уязвимости. Исправление заключается в сравнении с путем `parent_path`, к которому добавляется разделитель путей из переменной `os.sep`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.