Apa yang terjadi
NVD menerbitkan CVE-2026-56673 (CVSS 7.5, High) pada 2026-07-31; GitHub Security Advisory GHSA-rvxv-29p8-pxgq mengkonfirmasi metode VALIDATE_INPUTS node LoadImage melewati validasi direktori input COMBO, meninggalkan hanya logika path-join yang rentan sebagai penjaga.
Mengapa penting
ComfyUI tersebar luas untuk generasi gambar AI baik secara lokal maupun sebagai layanan yang dihosting; penyerang yang tidak terotentikasi dapat menggunakan alur kerja yang dibuat dengan cermat untuk membaca file host arbitrer (misalnya, credential, file konfigurasi yang menyamar atau dapat dikonversi ke format gambar) tanpa autentikasi apa pun, secara langsung mengkompromikan kerahasiaan lingkungan hosting.
Vektor serangan
folder_paths.get_annotated_filepath dan exists_annotated_filepath menggabungkan nama file anotasi yang dikontrol alur kerja ke direktori dasar tanpa pemeriksaan penyimpanan; POST /prompt alur kerja yang tidak terotentikasi dan dibuat dengan cermat menggunakan LoadImage atau node sibling (LoadImageMask, LoadAudio, LoadLatent, LoadVideo, Load3D) dapat menyelidiki jalur host arbitrer sebagai oracle keberadaan file dan mengexfiltrasi file format gambar apa pun melalui endpoint /view.
Sistem yang terdampak
ComfyUI (Comfy-Org/ComfyUI) sebelum 0.28.0
Mitigasi
Upgrade ke ComfyUI 0.28.0+, yang menambahkan pemeriksaan penyimpanan realpath+commonpath ke get_annotated_filepath dan exists_annotated_filepath.