CVE-2026-111986

ŚrednieCVSS 6.3

Opublikowano: 18/10/2026(UTC)Zaktualizowano: 22/10/2026(UTC)Przetłumaczono: 18/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

W AUTOMATIC1111 stable-diffusion-webui do wersji 1.10.1 wykryto podatność w funkcji get_obj_from_str w pliku modules/sd_models.py w komponencie Model Instantiation. Manipulacja argumentem Target prowadzi do wstrzyknięcia kodu, a atak można zainicjować zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Ocena ryzyka

Zdalny atakujący może wstrzyknąć i wykonać dowolny kod w kontekście aplikacji, co może prowadzić do pełnego przejęcia systemu.

Rekomendacja

Zaktualizuj AUTOMATIC1111 stable-diffusion-webui do wersji nowszej niż 1.10.1, gdy tylko poprawka będzie dostępna, i ogranicz dostęp do interfejsu sieciowego.

Inne podatności w AUTOMATIC1111 stable-diffusion-webui

CVE-2026-111987Średnie
W AUTOMATIC1111 stable-diffusion-webui do wersji 1.10.1 wykryto podatność w funkcji read_metadata_from_safetensors w pliku modules/sd_models.py, związanej z komponentem Extra-Networks Card Builder. Manipulacja argumentem __metadata__.sshs_model_hash prowadzi do cross site scripting, a exploit jest publicznie dostępny.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in AUTOMATIC1111 stable-diffusion-webui up to 1.10.1. Affected is the function get_obj_from_str of the file modules/sd_models.py of the component Model Instantiation. This manipulation of the argument Target causes code injection. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS