p PatchFirst

CVE-2024-12029

CVE-2024-12029 · Remote Code Execution via Model Deserialization in invoke-ai/invokeai

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

A remote code execution vulnerability exists in invoke-ai/invokeai versions 5.3.1 through 5.4.2 via the /api/v2/models/install API. The vulnerability arises from unsafe deserialization of model files using torch.load without proper validation. Attackers can exploit this by embedding malicious code in model files, which is executed upon loading. This issue is fixed in version 5.4.3.

CVSS 9.8 · Crítica · EPSS 6,0% · Código de explotación público · Corrección disponible

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • invoke-ai/invokeai

    Versiones
    • ≥ unspecified, < 5.4.3: Afectada (custom)

    Actualiza a 5.4.3

  • invokeai PyPI

    Versiones
    • 5.3.1
    • 5.4.0
    • 5.4.1
    • 5.4.1rc1
    • 5.4.1rc2
    • 5.4.2
    • 5.4.2rc1
    • 5.4.3rc1
    Intervalos de versiones afectados
    • ECOSYSTEM: ≥ 5.3.1, < 5.4.3rc2

    Actualiza a 5.4.3rc2

  • invokeai PyPI

    Versiones
    • 5.3.1
    • 5.4.0
    • 5.4.1
    • 5.4.1rc1
    • 5.4.1rc2
    • 5.4.2
    • 5.4.2rc1
    Intervalos de versiones afectados
    • GIT: < 756008dc5899081c5aa51e5bd8f24c1b3975a59e
    • ECOSYSTEM: ≥ 5.3.1, < 5.4.3rc1

    Actualiza a 5.4.3rc1

Fuentes originales

Comprueba tu servidor →