PT-2024-18968 · Unknown · Comfyui-Ace-Nodes

Raul Onitza-Klugman · Publicado 2024-12-13 · Atualizado 2024-12-13 · CVE-2024-21577

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

ComfyUI-Ace-Nodes (versões afetadas não especificadas)

Descrição

O problema diz respeito a uma vulnerabilidade de injeção de código. O nó ACE ExpressionEval no ComfyUI-Ace-Nodes contém uma função eval() em seu ponto de entrada que aceita dados arbitrários controlados pelo usuário, permitindo que um usuário crie um fluxo de trabalho que execute código arbitrário no servidor.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-21577

Produtos afetados

Comfyui-Ace-Nodes

Referências · 7

• https://github.com/hay86/ComfyUI_AceNodes/blob/5ba01db8a3b7afb8e4aecfaa48823ddeb132bbbb/nodes.py#L1193 · Nota
• https://t.me/cvedetector/12868 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1867537574572507344 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1867569843160932593 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-21577 · Nota de Segurança
• https://t.me/latest_high_impact_cve/1650 · Publicação no Telegram
• https://t.me/cvenotify/104164 · Publicação no Telegram