CVE-2024-12029criticalCWE-502

CVE-2024-12029: fallo crítico en invoke-ai/invokeai

Remote Code Execution via Model Deserialization in invoke-ai/invokeai

Publicada el

Seguir esta CVE+ Monitorear invoke-ai/invokeai+ Monitorear invokeai

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

63Vexday Risk Score

Corrige pronto. Ella tiene exploit funcional público.

ssvc Attendcvss 9.8epss 6.0%
de la publicación al arma391 días
Publicada en NVD20 mar
1ª PoC+391d
metasploit7 feb
A remote code execution vulnerability exists in invoke-ai/invokeai versions 5.3.1 through 5.4.2 via the /api/v2/models/install API. The vulnerability arises from unsafe deserialization of model files using torch.load without proper validation. Attackers can exploit this by embedding malicious code in model files, which is executed upon loading. This issue is fixed in version 5.4.3.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
invoke-ai · invoke-ai/invokeai
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — invoke-ai/invokeai

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-11042CRITICALArbitrary File Delete in invoke-ai/invokeaiEPSS 1.6%CVE-2024-11043HIGHDenial of Service (DoS) via Large Payload in Board Name Field in invoke-ai/invokeaiEPSS 0.7%CVE-2024-10821HIGHDenial of Service (DoS) in invoke-ai/invokeaiEPSS 0.6%CVE-2025-6237CRITICALPath Traversal and Arbitrary File Deletion in invoke-ai/invokeaiEPSS 0.4%