关键漏洞信息 漏洞描述 CVE编号: CVE-2025-8237 漏洞类型: CWE-73: External Control of File Name or Path 严重性: Critical 影响: 任意文件读取和删除 描述 对于InvokeAI版本v6.00a1及以下，存在一个端点用于批量下载.zip文件。通过操纵filename参数，攻击者可以读取并删除服务器上的任何文件。 影响 攻击者可以读取和删除InvokeAI服务器上的任何文件。 可能导致关键系统文件（如密钥、SQL数据库、配置文件等）的泄露或删除。 导致高机密性、高完整性和高可用性影响。 发现细节 发现者: Duc Anh Nguyen 状态: 已发布 证明概念 (PoC) 请求示例: 响应示例: 发生位置 文件中的 行代码存在漏洞。 时间线 报告提交后，Invoke-AI团队在34小时内确认了漏洞。 Kent Kelley验证了该漏洞，并增加了研究人员的信誉。 漏洞被分配了CVE编号CVE-2025-8237。