Falha no ComfyUI-Easy-Use permite execução remota de código sem autenticação

Em 12 de novembro de 2026, o GitHub Advisory Database publicou o aviso GHSA-25xv-w465-qr9f descrevendo uma falha de path traversal no ComfyUI-Easy-Use, uma extensão do tipo custom-node para o ComfyUI, a ferramenta de código aberto para geração de imagens e vídeo com IA. A falha permite que um atacante não autenticado e acessível pela rede obtenha execução remota de código.

O que o aviso descreve

• Catalogada como CVE-2026-123790 e GHSA-25xv-w465-qr9f, publicada em 12 de novembro de 2026
• A falha está no manipulador save_preview() para requisições POST a /easyuse/save/{name}
• A validação insuficiente do nome do arquivo permite que o atacante direcione a gravação para o diretório custom_nodes
• Um atacante não autenticado e acessível pela rede pode sobrescrever o ponto de entrada em Python de um nó personalizado instalado com um arquivo enviado
• A execução de código arbitrário ocorre com os privilégios do processo do ComfyUI assim que o nó modificado é carregado na reinicialização
• A versão afetada confirmada é a 1.3.6; o aviso não especifica uma versão com a correção

O que isso significa para quem constrói com IA

O ComfyUI é um dos pipelines de código aberto para geração de imagens e vídeo com IA mais utilizados, e essa falha afeta uma extensão popular desse ecossistema. Como o atacante não precisa de credenciais, apenas de acesso pela rede à instância do ComfyUI, configurações de IA criativa autogerenciadas que expõem o ComfyUI-Easy-Use correm o risco de ter seus nós personalizados substituídos silenciosamente e executados com os privilégios do processo do ComfyUI.

Disponibilidade de uma correção

O aviso confirma que a versão 1.3.6 do ComfyUI-Easy-Use está afetada, mas não especifica qual versão traz a correção. Quem utiliza essa extensão deve verificar a versão instalada em relação ao aviso e acompanhar o lançamento de uma atualização antes de voltar a expor o ComfyUI-Easy-Use na rede.

Fontes

• GHSA-25xv-w465-qr9f (GitHub Advisory Database, 12 de novembro de 2026, oficial)

Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.