CVE-2026-6590
ComfyUI Model Preview Endpoint model_manager.py get_model_preview path traversal
Vexday Risk Score
33Atenção
Decisão SSVC (CISA)
Attend
PoC disponível → acompanhar de perto
Maturidade do exploit
Prova de conceito
Existe prova de conceito pública, mas ainda não automatizada.
CVSS 5.3EPSS 0.4%KEV nãoPoC públicaNuclei —Metasploit —Patch —
Ciclo de vida
20 abr 2026Publicada no NVD
Recomendação: Planejar correção próxima — já existe PoC pública.
A vulnerability was detected in ComfyUI up to 0.13.0. This impacts the function get_model_preview of the file app/model_manager.py of the component Model Preview Endpoint. The manipulation results in path traversal. The attack may be launched remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:P
Produtos afetados
n/a · ComfyUIPoCs públicas encontradas — 1
cve_referencegist.github.com/YLChen-007/b46c4cfef1643df14ed73e278129af2cnão verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.