PT-2025-12094 · Invokeai · Invokeai

Publicado 2025-03-20 · Atualizado 2025-03-22 · CVE-2024-11042

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas invoke-ai/invokeai versão v5.0.2

Descrição A API web POST /api/v1/images/delete é vulnerável a Exclusão Arbitrária de Arquivos, permitindo que atacantes não autorizados excluam arquivos arbitrários no servidor. Isso pode incluir arquivos de sistema críticos ou sensíveis, como chaves SSH, bancos de dados SQLite e arquivos de configuração, impactando potencialmente a integridade e a disponibilidade de aplicações que dependem desses arquivos.

Recomendações Para invoke-ai/invokeai versão v5.0.2, considere desativar o endpoint da API POST /api/v1/images/delete até que uma correção esteja disponível para prevenir a exclusão não autorizada de arquivos. Restrinja o acesso a arquivos de sistema sensíveis para minimizar o risco de exploração.

Correção

Path traversal

RCE

Enumeração de Fraquezas

CWE-73

CWE-22

CWE-20

Identificadores relacionados

CVE-2024-11042

GHSA-227R-W5J2-6243

Produtos afetados

Invokeai

Referências · 7

• https://github.com/invoke-ai/invokeai/commit/5440c037674882b2ab7acd59087e9bb04b49657a · Nota
• https://github.com/invoke-ai/InvokeAI · Nota
• https://osv.dev/vulnerability/CVE-2024-11042 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-11042 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-227r-w5j2-6243 · Aviso do Fabricante
• https://huntr.com/bounties/635535a7-c804-4789-ac3a-48d951263987 · Nota
• https://twitter.com/CVEnew/status/1903336840838647976 · Publicação no Twitter