Błąd w ComfyUI-Easy-Use umożliwia niezweryfikowane zdalne wykonanie kodu

Błąd przechodzenia przez katalogi w rozszerzeniu ComfyUI-Easy-Use pozwala atakującym nadpisać niestandardowy węzeł i uruchomić dowolny kod po ponownym starcie ComfyUI.

W dniu 12 listopada 2026 roku GitHub Advisory Database opublikowała poradnik GHSA-25xv-w465-qr9f opisujący błąd przechodzenia przez katalogi w ComfyUI-Easy-Use, rozszerzeniu typu custom-node dla otwartoźródłowego narzędzia ComfyUI do generowania obrazów i wideo przy użyciu AI. Błąd umożliwia niezweryfikowanemu, dostępnemu w sieci atakującemu zdalne wykonanie kodu.

Co opisuje poradnik

Oznaczony jako CVE-2026-123790 oraz GHSA-25xv-w465-qr9f, opublikowany 12 listopada 2026 roku
Błąd znajduje się w obsłudze save_preview() dla żądań POST do /easyuse/save/{name}
Niewystarczająca walidacja nazwy pliku pozwala atakującemu skierować zapis do katalogu custom_nodes
Niezweryfikowany atakujący dostępny w sieci może nadpisać punkt wejścia Pythona zainstalowanego niestandardowego węzła przesłanym plikiem
Wykonanie dowolnego kodu następuje z uprawnieniami procesu ComfyUI po wczytaniu zmodyfikowanego węzła podczas ponownego startu
Dotknięta wersja to potwierdzone 1.3.6; poradnik nie podaje wersji z poprawką

Co to oznacza dla osób tworzących z AI

ComfyUI jest jednym z najpowszechniej wykorzystywanych otwartoźródłowych potoków AI do generowania obrazów i wideo, a ten błąd dotyczy popularnego rozszerzenia w tym ekosystemie. Ponieważ atakujący nie potrzebuje żadnych danych uwierzytelniających, a jedynie dostępu do sieci, w której działa instancja ComfyUI, samodzielnie hostowane środowiska kreatywne korzystające z ComfyUI-Easy-Use są narażone na niezauważone podstawienie niestandardowych węzłów i ich wykonanie z uprawnieniami procesu ComfyUI.

Dostępność poprawki

Poradnik potwierdza, że wersja 1.3.6 rozszerzenia ComfyUI-Easy-Use jest podatna, nie wskazując, która wersja zawiera poprawkę. Osoby korzystające z tego rozszerzenia powinny sprawdzić swoją zainstalowaną wersję względem poradnika i obserwować wydanie aktualizacji, zanim ponownie udostępnią ComfyUI-Easy-Use w sieci.

Źródła

GHSA-25xv-w465-qr9f (GitHub Advisory Database, 12 listopada 2026, oficjalne)

Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.