CVE-2026-65012 in InvokeAI
Tóm tắt
Bởi VulDB • 22/07/2026
InvokeAI trước phiên bản 6.13.7 chứa một lỗ hổng liệt kê thư mục chưa xác thực (unauthenticated) trong điểm cuối GET /api/v2/models/scan_folder, chấp nhận các tham số scan_path do kẻ tấn công kiểm soát. Kẻ tấn công chưa xác thực có thể liệt kê đệ quy các thư mục tùy ý trên hệ thống tệp của máy chủ và sử dụng mã phản hồi HTTP để xác định sự tồn tại cũng như khả năng đọc được của tệp tin, qua đó bỏ qua các kiểm soát truy cập ở chế độ đa người dùng (multi-user mode).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.