ComfyUI-Manager插件路径访问问题分析与防护

问题概述

ComfyUI-Manager作为ComfyUI的重要插件组件，近期被发现存在一个需要关注的文件路径访问问题。该问题在特定条件下可能允许通过构造特殊请求实现文件覆盖，可能导致系统文件被修改、服务中断等后果。

问题技术分析

问题成因

该问题的核心出现在插件的文件复制安装功能中。当系统安全级别被设置为"weak"时，可能出现以下情况：

1. 安全级别设置影响：系统提供了安全级别检查机制，但当用户将安全级别设置为"weak"时，系统会放宽对某些操作的拦截。

2. 路径参数验证：在文件复制安装功能中，js_path_name参数未经过严格的路径规范化检查，可能包含路径访问字符(如../)的参数来突破目标目录限制。

3. 文件类型处理：系统仅对.py文件进行特殊处理，其他类型文件会被直接下载到指定路径中。

问题利用过程

可能出现以下情况：

1. 确认目标系统的安全级别设置为"weak"
2. 构造特殊POST请求到/customnode/install端点
3. 设置install_type为"copy"
4. 在js_path_name参数中使用路径访问序列
5. 指定远程文件URL
6. 系统会将远程文件下载并保存到指定位置

影响范围

该问题的影响程度取决于：

• 系统运行权限：如果ComfyUI以较高权限运行，可能影响系统文件
• 安全级别设置：仅当安全级别为"weak"时可能出现
• 网络可达性：需要能够访问文件下载源

防护建议

针对此问题，建议采取以下防护措施：

1. 安全配置：

   • 避免将系统安全级别设置为"weak"
   • 使用最小权限原则运行ComfyUI服务

2. 输入验证：

   • 对所有路径参数进行规范化处理
   • 检查路径参数是否包含访问序列(../)
   • 限制文件下载的目标目录范围

3. 防御措施：

   • 实施文件操作的允许列表机制
   • 对下载的文件进行内容校验
   • 记录所有文件操作日志

问题修复

开发者已发布更新版本，主要改进包括：

1. 加强了路径参数的验证和规范化处理
2. 改进了安全级别的默认设置
3. 增加了对特殊操作的额外提示

总结

ComfyUI-Manager的文件路径访问问题提醒我们，在文件操作相关的功能实现中必须严格验证所有路径参数。开发者应当遵循最小权限原则，并对所有用户提供的输入保持警惕。用户则应保持插件更新，并避免使用不安全的安全级别配置。