FICHE CVE

CVE-2025-31114

Publiée le 2026-08-11 · Dernière modification le 2026-08-13

🇫🇷 EN BREF

Le logiciel de génération d'images Fooocus (version 2.5.5 et antérieures) présente une faille dans le traitement des métadonnées d'image, permettant à un attaquant d'exécuter des commandes arbitraires sur votre serveur. Il s'agit d'une exploitation à distance qui ne nécessite ni authentification ni interaction de l'utilisateur, ce qui signifie que toute personne ayant un accès réseau à votre interface web peut la déclencher. Comme le logiciel utilise une fonction d'évaluation non sécurisée pour analyser le JSON, l'attaque est simple à exécuter une fois que l'interface est accessible.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-95

Publiée2026-08-11

Dernière modification2026-08-13

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Fooocus is an image generating software. In versions 2.5.5 and prior, the Fooocus web UI is vulnerable to remote code execution due to the unsafe use of eval when processing metadata JSON. An attacker with access to the Fooocus web UI may be able to execute arbitrary code on the instance. As of time of publication, no known patched versions are available, but a suggested fix pull request is available.