CVE-2026-56672

ComfyUI es una GUI, API y backend de modelo de difusión basado en nodos. Antes de la versión 0.28.0, GET /userdata/{file} servía archivos HTML y SVG controlados por el usuario con tipos de contenido derivados de la extensión, permitiendo cross-site scripting almacenado en el origen de ComfyUI y acceso a tokens de API almacenados en el navegador, configuraciones, flujos de trabajo y llamadas a la API equivalentes a autenticadas. El gestor utilizaba web.FileResponse(path), por lo que un .html/.svg subido se servía como text/html/image/svg+xml. POST /userdata almacena cuerpos de solicitud arbitrarios (confinados al directorio userdata del usuario). Cuando una víctima navegaba a la URL del archivo, el script incrustado se ejecutaba con el mismo origen. El endpoint /view ya forzaba la descarga de tipos MIME peligrosos; esa protección nunca se había aplicado a /userdata. Este problema está solucionado en la versión 0.28.0.