CVE-2026-56671

ComfyUI è un'interfaccia grafica, API e backend modulare per modelli di diffusione, con un'interfaccia a grafo/nodi. Prima della versione 0.28.0, get_model_preview in app/model_manager.py univa un percorso di nome file non restrittivo a una directory di modelli selezionata senza un controllo di containment, consentendo a un attaccante remoto non autenticato di utilizzare tecniche di traversal, traversal codificato, percorsi assoluti o un path_index non limitato per leggere file decodificabili come immagini e enumerare percorsi host. get_model_preview (app/model_manager.py) costruiva il percorso con os.path.join(folder, filename), dove filename è una cattura di percorso non restrittiva {filename:.*}. La sequenza ../, %2e%2e%2f codificato in percentuale e i percorsi assoluti sfuggivano tutti alla directory del modello; path_index era anch'esso illimitato. Il file di destinazione viene passato tramite Pillow e riconsiderato come WEBP, quindi la divulgazione è limitata ai file decodificabili come immagini più un oracolo di esistenza/enumerazione dei file (e perdite di percorso interno tramite errori di path_index). Questo problema è stato risolto nella versione 0.28.0.