CVE-2026-22777：Comfy-Org ComfyUI-Manager 中 CRLF 序列不当中和漏洞（CRLF注入）
严重性：高 类型：漏洞 CVE：CVE-2026-22777
描述
ComfyUI-Manager 是一个旨在增强 ComfyUI 可用性的扩展。在 3.39.2 和 4.0.5 之前的版本中，攻击者可以向 HTTP 查询参数中注入特殊字符，从而向 config.ini 文件添加任意配置值。这可能导致安全设置被篡改或应用程序行为被修改。此问题已在 3.39.2 和 4.0.5 版本中修复。
技术分析
CVE-2026-22777 是在 Comfy-Org 的 ComfyUI-Manager 扩展中发现的一个被归类为 CWE-93（CRLF序列不当中和）的漏洞，该扩展用于增强 ComfyUI 的可用性。该漏洞存在于 3.39.2 之前以及 4.0.0 至 4.0.5 之间的版本中，攻击者可以通过 HTTP 查询参数注入回车和换行 (CRLF) 字符。这种注入允许向 config.ini 配置文件中任意添加内容，从而实现对应用程序设置或安全参数的未授权修改。该漏洞不需要身份验证或用户交互，并且可以通过网络远程利用，这使其对攻击者而言非常容易访问。其影响主要体现在破坏应用程序的完整性，允许篡改配置，从而可能导致应用程序行为改变或安全控制措施被削弱。该问题已在 3.39.2 和 4.0.5 版本中通过适当的输入净化以防止 CRLF 注入得到解决。尽管尚未有野外利用报告，但该漏洞的性质和易于利用的特点使其成为一个重大威胁。依赖 ComfyUI-Manager 的组织应评估其版本部署情况并及时应用补丁以降低风险。
潜在影响
对于欧洲组织而言，此漏洞对运行 ComfyUI-Manager 的系统完整性构成重大风险，尤其是在配置完整性至关重要的环境中。对 config.ini 的未授权修改可能导致安全设置被削弱、未授权访问或应用程序行为改变，可能助长进一步的攻击或数据泄露。软件开发、数字内容创作以及任何利用 ComfyUI 进行 UI 管理的行业如果遭受利用，可能会面临运营中断或合规问题。该漏洞可通过网络利用的性质意味着攻击者无需凭证即可远程尝试利用，从而增加了暴露风险。尽管对可用性和机密性的直接影响未被明确指出，但完整性的破坏可能演变成更广泛的安全事件。在欧洲，依赖 ComfyUI-Manager 进行自动化或远程配置管理的组织尤其容易受到攻击。
缓解建议
- 立即将 ComfyUI-Manager 升级到已修复该漏洞的 3.39.2 或 4.0.5 版本。
- 对所有 HTTP 查询参数实施严格的输入验证和净化，以防止注入 CRLF 或其他特殊字符。
- 对 config.ini 等配置文件实施文件完整性监控，以便及时检测未授权的更改。
- 将对 ComfyUI-Manager 接口的网络访问限制为受信任的 IP 地址或 VPN，以减少暴露。
- 定期进行安全审计和渗透测试，重点关注配置管理组件。
- 对开发和运维团队进行有关注入漏洞风险和安全编码实践的教育。
- 监控日志中可能表明利用尝试的异常或格式错误的 HTTP 请求。
- 考虑部署应用层防火墙或 Web 应用防火墙 (WAF)，并配置规则以检测和阻止针对查询参数的 CRLF 注入尝试。
受影响国家
德国、法国、英国、荷兰、瑞典、芬兰、波兰、意大利、西班牙
来源： CVE Database V5 发布日期： 2026年1月10日 星期六