PT-2025-19738 · Unknown · Retrieval-Based-Voice-Conversion-Webui

Sylwia Budzynska · Publicado 2025-05-05 · Atualizado 2025-08-01 · CVE-2025-43842

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Retrieval-based-Voice-Conversion-WebUI versões 2.2.231006 e anteriores

Descrição O Retrieval-based-Voice-Conversion-WebUI é um framework de alteração de voz baseado em VITS. As variáveis exp dir1, np7, trainset dir4 e sr2 recebem entrada do usuário e a passam para a função preprocess dataset, que as concatena em um comando executado no servidor. Isso pode levar à execução arbitrária de comandos. Até o momento da publicação, não existem patches conhecidos.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2025-43842

Produtos afetados

Retrieval-Based-Voice-Conversion-Webui

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/43xxx/CVE-2025-43842.json · Exploit
• https://github.com/RVC-Project/Retrieval-based-Voice-Conversion-WebUI/blob/7ef19867780cf703841ebafb565a4e47d1ea86ff/infer-web.py#L1227-L1232 · Nota
• https://github.com/RVC-Project/Retrieval-based-Voice-Conversion-WebUI/blob/7ef19867780cf703841ebafb565a4e47d1ea86ff/infer-web.py#L223-L232 · Nota
• https://github.com/RVC-Project/Retrieval-based-Voice-Conversion-WebUI/blob/7ef19867780cf703841ebafb565a4e47d1ea86ff/infer-web.py#L235 · Nota
• https://t.me/cveNotify/130574 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1919463972123619679 · Publicação no Twitter
• https://t.me/cvedetector/24460 · Publicação no Telegram
• https://t.me/cvetracker/23052 · Publicação no Telegram
• https://twitter.com/cybercronai/status/1919774327878131714 · Publicação no Twitter
• https://twitter.com/cybercronai/status/1920103954580394397 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1919445338232107325 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1919445492213166188 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-43842 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-43842 · Nota de Segurança
• https://securitylab.github.com/advisories/GHSL-2025-012_GHSL-2025-022_Retrieval-based-Voice-Conversion-WebUI · Aviso do Fabricante