CVE-2024-11042
Eliminazione arbitraria di file in invoke-ai/invokeai
- Pubblicato
- 20 mar 2025
- Aggiornato
- 15 ott 2025
- Assegnazione CNA
- @huntr_ai
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 3.0
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 73,3%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
In invoke-ai/invokeai versione v5.0.2, l'API web `POST /api/v1/images/delete` è vulnerabile alla Cancellazione Arbitraria di File. Questa vulnerabilità consente ad attaccanti non autorizzati di eliminare file arbitrari sul server, inclusi potenzialmente file di sistema critici o sensibili come chiavi SSH, database SQLite e file di configurazione. Ciò può compromettere l'integrità e la disponibilità delle applicazioni che dipendono da questi file.
Fonti
1Prova di concetto per In invoke-ai/invokeai versione v5.0.2 Eliminazione arbitraria di file.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.