CVE-2024-12029criticalCWE-502

CVE-2024-12029: falha crítica em invoke-ai/invokeai

Remote Code Execution via Model Deserialization in invoke-ai/invokeai

Publicada em

Seguir esta CVE+ Monitorar invoke-ai/invokeai+ Monitorar invokeai

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

63Vexday Risk Score

Corrija em breve. Ela tem exploit funcional público.

ssvc Attendcvss 9.8epss 6.0%
da publicação à arma391 dias
Publicada no NVD20 de mar.
1ª PoC+391d
metasploit7 de fev.
A remote code execution vulnerability exists in invoke-ai/invokeai versions 5.3.1 through 5.4.2 via the /api/v2/models/install API. The vulnerability arises from unsafe deserialization of model files using torch.load without proper validation. Attackers can exploit this by embedding malicious code in model files, which is executed upon loading. This issue is fixed in version 5.4.3.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
invoke-ai · invoke-ai/invokeai
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — invoke-ai/invokeai

No mesmo produto, das mais perigosas para as menos.

CVE-2024-11042CRITICALArbitrary File Delete in invoke-ai/invokeaiEPSS 1.6%CVE-2024-11043HIGHDenial of Service (DoS) via Large Payload in Board Name Field in invoke-ai/invokeaiEPSS 0.7%CVE-2024-10821HIGHDenial of Service (DoS) in invoke-ai/invokeaiEPSS 0.6%CVE-2025-6237CRITICALPath Traversal and Arbitrary File Deletion in invoke-ai/invokeaiEPSS 0.4%