Уязвимость внедрения eval() в функцию get_list в модулях/meta_parser.py в lllyasviel Fooocus 2.1.854–2.5.5 позволяет удаленным злоумышленникам выполнять произвольный код Python с помощью специально созданных полезных данных стилей в метаданных EXIF загруженного файла изображения.
Показать оригинальное описание (EN)
An eval() injection vulnerability in the get_list function in modules/meta_parser.py in lllyasviel Fooocus 2.1.854 through 2.5.5 allows remote attackers to execute arbitrary Python code via a crafted styles payload in the EXIF metadata of an uploaded image file.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1