Уязвимость внедрения кода в AUTOMATIC1111 stable-diffusion-webui (CVE-2026-111986)
В популярном веб-интерфейсе для генеративных моделей stable diffusion — AUTOMATIC1111 stable-diffusion-webui — выявлена уязвимость, связанная с возможностью внедрения кода. Проблема затрагивает механизм создания экземпляров моделей и уже имеет публично доступный эксплойт, что повышает риск её практического использования.
Подробности
Уязвимость CVE-2026-111986 обнаружена в AUTOMATIC1111 stable-diffusion-webui вплоть до версии 1.10.1 включительно. Проблема локализована в функции get_obj_from_str файла modules/sd_models.py, относящейся к компоненту Model Instantiation. Манипулирование аргументом Target позволяет злоумышленнику внедрить и выполнить произвольный код.
Атака может быть инициирована удалённо, что расширяет круг потенциальных сценариев эксплуатации. Согласно оценке CVSS, уязвимость получила 5.3 балла — средний уровень опасности. Важно отметить: эксплойт уже публично раскрыт и может быть использован злоумышленниками. Разработчики проекта были уведомлены о проблеме через сообщение об ошибке, однако на момент публикации записи CVE ответа не последовало.
Что делать
Поскольку официальное исправление на момент публикации отсутствует, рекомендуется принять следующие меры:
- Ограничить сетевой доступ к экземплярам stable-diffusion-webui — не публиковать интерфейс в открытый интернет без необходимости;
- использовать аутентификацию и сегментацию сети для изоляции сервиса;
- не загружать и не подключать модели и конфигурации из недоверенных источников, особенно содержащие произвольные параметры
Target; - отслеживать обновления проекта и установить патч сразу после его выпуска;
- при возможности ограничить права процесса, под которым запущен веб-интерфейс, для снижения последствий эксплуатации.
Уязвимость CVE-2026-111986 демонстрирует, что инструменты для работы с генеративными моделями требуют такого же внимания к безопасности, как и любое серверное ПО. Наличие публичного эксплойта и отсутствие ответа мейнтейнеров делают митигации на уровне инфраструктуры особенно важными.
Источник: CVE Project (cvelistV5)