CVE-2026-22777: CWE-93: Comfy-Org ComfyUI-Manager 中的CRLF序列不当中和（CRLF注入）
严重性：高 类型：漏洞
概述
CVE-2026-22777 是一个被归类为 CWE-93（CRLF序列不当中和）的漏洞，发现于 Comfy-Org 的 ComfyUI-Manager 扩展中，该扩展旨在增强 ComfyUI 的可用性。此漏洞存在于 3.39.2 之前版本以及 4.0.0 至 4.0.5 之间的版本。攻击者可通过 HTTP 查询参数注入回车和换行（CRLF）字符，从而向 config.ini 配置文件中任意添加配置值，导致安全设置被篡改或应用程序行为被修改。此问题已在 3.39.2 和 4.0.5 版本中修复。
技术分析
CVE-2026-22777 是一个在 Comfy-Org 的 ComfyUI-Manager 扩展中发现的漏洞，该漏洞被归类为 CWE-93（CRLF序列不当中和），该扩展用于增强 ComfyUI 的可用性。该缺陷存在于 3.39.2 之前版本以及 4.0.0 至 4.0.5 之间的版本，攻击者可以通过 HTTP 查询参数注入回车和换行（CRLF）字符。这种注入允许向 config.ini 配置文件中进行任意添加，从而实现对应用程序设置或安全参数的未经授权的修改。该漏洞不需要身份验证或用户交互，并且可以通过网络远程利用，这使得攻击者极易利用。影响主要在于破坏应用程序的完整性，允许篡改配置，这可能导致应用程序行为改变或安全控制削弱。该问题已在 3.39.2 和 4.0.5 版本中通过正确清理输入以防止 CRLF 注入得到解决。尽管目前尚未有野外利用的报告，但该漏洞的性质和易于利用性使其成为一个重大威胁。依赖 ComfyUI-Manager 的组织应评估其版本部署情况，并及时应用补丁以降低风险。
潜在影响
对于欧洲组织而言，此漏洞对运行 ComfyUI-Manager 的系统的完整性构成重大风险，尤其是在配置完整性至关重要的环境中。未经授权修改 config.ini 可能导致安全设置被削弱、未经授权的访问或应用程序行为改变，可能促成进一步的攻击或数据泄露。如果被利用，软件开发、数字内容创建以及任何利用 ComfyUI 进行 UI 管理的行业都可能面临运营中断或合规性问题。该漏洞可通过网络远程利用的性质意味着攻击者无需凭据即可尝试远程利用，增加了暴露风险。尽管未直接表明对可用性和保密性的影响，但完整性的破坏可能演变成更广泛的安全事件。在欧洲，依赖 ComfyUI-Manager 进行自动化或远程配置管理的组织尤其容易受到攻击。
缓解建议
- 立即将 ComfyUI-Manager 升级到已修复该漏洞的 3.39.2 或 4.0.5 版本。
- 对所有 HTTP 查询参数实施严格的输入验证和清理，以防止注入 CRLF 或其他特殊字符。
- 对 config.ini 等配置文件实施文件完整性监控，以便及时发现未经授权的更改。
- 将网络对 ComfyUI-Manager 接口的访问限制在受信任的 IP 地址或 VPN，以减少暴露。
- 定期进行安全审计和渗透测试，重点关注配置管理组件。
- 对开发和运维团队进行有关注入漏洞风险和安全编码实践的教育。
- 监控日志中可能表明尝试利用的异常或格式错误的 HTTP 请求。
- 考虑实施应用层防火墙或 WAF，并配置规则以检测和阻止针对查询参数的 CRLF 注入尝试。
受影响国家
德国、法国、英国、荷兰、瑞典、芬兰、波兰、意大利、西班牙
技术详情
- 数据版本： 5.2
- 分配者简称： GitHub_M
- 发布日期： 2026-01-09T18:27:19.388Z
- Cvss 版本： 3.1
- 状态： 已发布
- 威胁 ID： 6961f7c0c540fa4b54565841
- 添加到数据库时间： 2026年1月10日 上午6:54:56
- 最后丰富时间： 2026年1月10日 上午7:09:15
- 最后更新时间： 2026年1月12日 上午12:53:41
- 浏览量： 40
来源： CVE Database V5 发布时间： 2026年1月10日 星期六