p PatchFirst

CVE-2026-22777

CVE-2026-22777 · ComfyUI-Manager is Vulnerable to CRLF Injection in Configuration Handler

This page contains facts from public vulnerability sources. Check the original advisory before updating.

ComfyUI-Manager is an extension designed to enhance the usability of ComfyUI. Prior to versions 3.39.2 and 4.0.5, an attacker can inject special characters into HTTP query parameters to add arbitrary configuration values to the config.ini file. This can lead to security setting tampering or modification of application behavior. This issue has been patched in versions 3.39.2 and 4.0.5.

CVSS 7.5 · High · EPSS 0.3% · Public exploit · Fix available

Published
Updated

Stack: python

Affected products and versions

  • comfyui-manager

    Versions
    • >= 4.0.0, < 4.0.5: Affected
    • < 3.39.2: Affected

    No fix published

  • comfy-cli PyPI

    Affected ranges
    • ECOSYSTEM: ≥ 4.0.0, < 4.0.5

    Update to 4.0.5

  • comfy-cli PyPI

    Versions
    • 0.0.10
    • 0.0.11
    • 0.0.12
    • 0.0.13
    • 0.0.14
    • 0.0.15
    • 0.0.16
    • 0.0.17
    • 0.0.18
    • 0.0.19
    • 0.0.20
    • 0.0.20.dev0
    • 0.0.20.dev1
    • 0.0.21
    • 0.0.21.dev0
    • 0.0.21.dev1
    • 0.0.21.dev13
    • 0.0.21.dev14
    • 0.0.21.dev2
    • 0.0.21.dev3
    • 0.0.21.dev4
    • 0.0.21.dev8
    • 0.0.21.dev9
    • 0.0.22
    • 0.0.23
    • 0.0.24
    • 0.0.25
    • 0.0.26
    • 0.0.28
    • 0.0.29
    • 0.0.31
    • 0.0.32
    • 0.0.8
    • 0.0.9
    • 1.0.32
    • 1.0.33
    • 1.0.34
    • 1.0.35
    • 1.0.36
    • 1.1.0
    • 1.1.1
    • 1.1.2
    • 1.1.3
    • 1.1.4
    • 1.1.5
    • 1.1.6
    • 1.1.7
    • 1.1.8
    • 1.10.0
    • 1.10.1
    • 1.10.2
    • 1.10.3
    • 1.10.4
    • 1.10.5
    • 1.11.1
    • 1.12.0
    • 1.13.0
    • 1.14.0
    • 1.15.0
    • 1.16.0
    • 1.17.0
    • 1.18.0
    • 1.19.0
    • 1.2.0
    • 1.2.1
    • 1.2.2
    • 1.2.3
    • 1.2.4
    • 1.2.5
    • 1.2.6
    • 1.2.7
    • 1.2.8
    • 1.2.9
    • 1.20.0
    • 1.3.0
    • 1.3.1
    • 1.3.2
    • 1.3.3
    • 1.3.4
    • 1.3.5
    • 1.3.6
    • 1.3.7
    • 1.3.8
    • 1.3.9
    • 1.4.0
    • 1.4.1
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.5.3
    • 1.5.4
    • 1.6.0
    • 1.6.1
    • 1.7.0
    • 1.7.1
    • 1.7.2
    • 1.7.3
    • 1.8.0
    • 1.9.0
    Affected ranges
    • ECOSYSTEM: < 3.39.2

    Update to 3.39.2

  • comfy-cli PyPI

    Versions
    • 0.0.10
    • 0.0.11
    • 0.0.12
    • 0.0.13
    • 0.0.14
    • 0.0.15
    • 0.0.16
    • 0.0.17
    • 0.0.18
    • 0.0.19
    • 0.0.20
    • 0.0.20.dev0
    • 0.0.20.dev1
    • 0.0.21
    • 0.0.21.dev0
    • 0.0.21.dev1
    • 0.0.21.dev13
    • 0.0.21.dev14
    • 0.0.21.dev2
    • 0.0.21.dev3
    • 0.0.21.dev4
    • 0.0.21.dev8
    • 0.0.21.dev9
    • 0.0.22
    • 0.0.23
    • 0.0.24
    • 0.0.25
    • 0.0.26
    • 0.0.28
    • 0.0.29
    • 0.0.31
    • 0.0.32
    • 0.0.8
    • 0.0.9
    • 1.0.32
    • 1.0.33
    • 1.0.34
    • 1.0.35
    • 1.0.36
    • 1.1.0
    • 1.1.1
    • 1.1.2
    • 1.1.3
    • 1.1.4
    • 1.1.5
    • 1.1.6
    • 1.1.7
    • 1.1.8
    • 1.10.0
    • 1.10.1
    • 1.10.2
    • 1.10.3
    • 1.10.4
    • 1.10.5
    • 1.11.1
    • 1.12.0
    • 1.2.0
    • 1.2.1
    • 1.2.2
    • 1.2.3
    • 1.2.4
    • 1.2.5
    • 1.2.6
    • 1.2.7
    • 1.2.8
    • 1.2.9
    • 1.3.0
    • 1.3.1
    • 1.3.2
    • 1.3.3
    • 1.3.4
    • 1.3.5
    • 1.3.6
    • 1.3.7
    • 1.3.8
    • 1.3.9
    • 1.4.0
    • 1.4.1
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.5.3
    • 1.5.4
    • 1.6.0
    • 1.6.1
    • 1.7.0
    • 1.7.1
    • 1.7.2
    • 1.7.3
    • 1.8.0
    • 1.9.0
    Affected ranges
    • ECOSYSTEM: < 3.39.2 ∪ ≥ 4.0.0, < 4.0.5

    Update to 3.39.2; Update to 4.0.5

Original sources

Check your server →