CVE-2026-51974

WysokieCVSS 8.8

Opublikowano: 01/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 02/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.42%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

Podatność polegająca na wstrzyknięciu eval() w funkcji get_list w modules/meta_parser.py w Fooocus 2.1.854 do 2.5.5 pozwala zdalnym atakującym na wykonanie dowolnego kodu Python poprzez spreparowany payload w metadanych EXIF przesłanego pliku obrazu.

Ocena ryzyka

Atakujący może przejąć kontrolę nad systemem, wykonując złośliwy kod, co może prowadzić do kradzieży danych lub pełnej kompromitacji.

Rekomendacja

Zaktualizuj Fooocus do wersji, która zawiera poprawkę, oraz ogranicz możliwość przesyłania obrazów z metadanymi EXIF.

Inne podatności w Fooocus

CVE-2025-31114Krytyczne
Fooocus w wersjach do 2.5.5 jest podatny na zdalne wykonanie kodu z powodu niebezpiecznego użycia funkcji eval przy przetwarzaniu metadanych JSON. Atakujący z dostępem do interfejsu webowego może wykonać dowolny kod.

Oryginalny opis (angielski, źródło NVD)

An eval() injection vulnerability in the get_list function in modules/meta_parser.py in lllyasviel Fooocus 2.1.854 through 2.5.5 allows remote attackers to execute arbitrary Python code via a crafted styles payload in the EXIF metadata of an uploaded image file.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS