Falla en ComfyUI-Easy-Use permite ejecución remota de código sin autenticación

Una falla de path traversal en la extensión ComfyUI-Easy-Use permite a atacantes sobrescribir un nodo personalizado y ejecutar código arbitrario al reiniciar ComfyUI.

El 12 de noviembre de 2026, GitHub Advisory Database publicó el aviso GHSA-25xv-w465-qr9f que describe una falla de path traversal en ComfyUI-Easy-Use, una extensión de tipo custom-node para ComfyUI, la herramienta de código abierto para generación de imágenes y video con IA. La falla permite que un atacante no autenticado y accesible por red logre ejecución remota de código.

Qué describe el aviso

Catalogada como CVE-2026-123790 y GHSA-25xv-w465-qr9f, publicada el 12 de noviembre de 2026
La falla está en el manejador save_preview() para solicitudes POST a /easyuse/save/{name}
Una validación insuficiente del nombre de archivo permite que el atacante dirija la escritura al directorio custom_nodes
Un atacante no autenticado y accesible por red puede sobrescribir el punto de entrada en Python de un nodo personalizado instalado con un archivo subido
La ejecución de código arbitrario ocurre con los privilegios del proceso de ComfyUI una vez que el nodo modificado se carga al reiniciar
La versión afectada confirmada es 1.3.6; el aviso no especifica una versión con la corrección

Qué significa para quienes construyen con IA

ComfyUI es uno de los flujos de generación de imágenes y video con IA de código abierto más utilizados, y esta falla afecta a una extensión popular dentro de ese ecosistema. Como el atacante no necesita credenciales, solo acceso de red a la instancia de ComfyUI, las configuraciones de IA creativa autohospedadas que exponen ComfyUI-Easy-Use corren el riesgo de que sus nodos personalizados sean reemplazados en silencio y ejecutados con los privilegios del proceso de ComfyUI.

Disponibilidad de una corrección

El aviso confirma que la versión 1.3.6 de ComfyUI-Easy-Use está afectada, pero no especifica qué versión incluye la corrección. Quienes utilicen esta extensión deberían revisar su versión instalada frente al aviso y estar atentos a una actualización antes de volver a exponer ComfyUI-Easy-Use en red.

Fuentes

GHSA-25xv-w465-qr9f (GitHub Advisory Database, 12 de noviembre de 2026, oficial)

Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.