PT-2025-19759 · Unknown · Retrieval-Based-Voice-Conversion-Webui

Sylwia Budzynska · Publicado 2025-05-05 · Atualizado 2025-09-16 · CVE-2025-43848

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Retrieval-based-Voice-Conversion-WebUI versões 2.2.231006 e anteriores

Descrição O Retrieval-based-Voice-Conversion-WebUI é um framework de alteração de voz baseado em VITS. A variável ckpt path0 recebe entrada do usuário, como um caminho para um modelo, e a passa para a função change info em process ckpt.py. Esta função utiliza torch.load para carregar o modelo nesse caminho, o que pode levar à desserialização insegura e execução remota de código. Até o momento da publicação, não há patches conhecidos.

Recomendações Para as versões 2.2.231006 e anteriores, como uma solução temporária, considere restringir a entrada na variável ckpt path0 para prevenir desserialização insegura. Além disso, evite utilizar a função change info em process ckpt.py até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2025-43848

Produtos afetados

Retrieval-Based-Voice-Conversion-Webui

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/43xxx/CVE-2025-43848.json · Exploit
• https://github.com/RVC-Project/Retrieval-based-Voice-Conversion-WebUI/blob/9f2f0559e6932c10c48642d404e7d2e771d9db43/infer-web.py#L1431 · Nota
• https://github.com/RVC-Project/Retrieval-based-Voice-Conversion-WebUI/blob/9f2f0559e6932c10c48642d404e7d2e771d9db43/infer-web.py#L1415 · Nota
• https://github.com/RVC-Project/Retrieval-based-Voice-Conversion-WebUI/blob/7ef19867780cf703841ebafb565a4e47d1ea86ff/infer/lib/train/process_ckpt.py#L196 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-43848 · Nota de Segurança
• https://twitter.com/cybercronai/status/1919826064236261813 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-43848 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1919456464432689159 · Publicação no Twitter
• https://t.me/cvetracker/23061 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/1919452522026061939 · Publicação no Twitter
• https://twitter.com/dailycve/status/1968063427676668087 · Publicação no Twitter
• https://securitylab.github.com/advisories/GHSL-2025-012_GHSL-2025-022_Retrieval-based-Voice-Conversion-WebUI · Aviso do Fabricante
• https://t.me/cveNotify/130580 · Publicação no Telegram