PT-2025-11981 · Applio · Applio
Sylwia Budzynska
+1
·
Publicado
2025-03-19
·
Atualizado
2025-08-01
·
CVE-2025-27779
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do Applio 3.2.8-bugfix e anteriores
Descrição
O Applio é uma ferramenta de conversão de voz vulnerável a desserialização insegura em
model blender.py, linhas 20 e 21. As funções model fusion a e model fusion b de voice blender.py aceitam entrada fornecida pelo usuário, como um caminho de modelo, e passam esse valor para a função run model blender script, que então o passa para a função model blender. Esta função usa torch.load em model blender.py (linhas 20-21) para carregar modelos, criando uma vulnerabilidade de desserialização insegura. Este problema pode levar à execução remota de código.Recomendações
As versões do Applio anteriores à 3.2.8-bugfix devem ser atualizadas para uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Como solução temporária, considere restringir o acesso às funções
model fusion a e model fusion b em voice blender.py para minimizar o risco de exploração.Exploit
Correção
RCE
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Applio