CVE-2024-12029
CVE-2024-12029 · Remote Code Execution via Model Deserialization in invoke-ai/invokeai
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
A remote code execution vulnerability exists in invoke-ai/invokeai versions 5.3.1 through 5.4.2 via the /api/v2/models/install API. The vulnerability arises from unsafe deserialization of model files using torch.load without proper validation. Attackers can exploit this by embedding malicious code in model files, which is executed upon loading. This issue is fixed in version 5.4.3.
CVSS 9.8 · Критический · EPSS 6,0% · Публичный эксплойт · Есть исправление
- Опубликовано
- Обновлено
Стек: python
Затронутые продукты и версии
invoke-ai/invokeai
- Версии
- ≥ unspecified, < 5.4.3: Затронуто (custom)
Обновитесь до 5.4.3
invokeai PyPI
- Версии
- 5.3.1
- 5.4.0
- 5.4.1
- 5.4.1rc1
- 5.4.1rc2
- 5.4.2
- 5.4.2rc1
- 5.4.3rc1
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 5.3.1, < 5.4.3rc2
Обновитесь до 5.4.3rc2
invokeai PyPI
- Версии
- 5.3.1
- 5.4.0
- 5.4.1
- 5.4.1rc1
- 5.4.1rc2
- 5.4.2
- 5.4.2rc1
- Затронутые диапазоны версий
- GIT: < 756008dc5899081c5aa51e5bd8f24c1b3975a59e
- ECOSYSTEM: ≥ 5.3.1, < 5.4.3rc1
Обновитесь до 5.4.3rc1