PT-2025-19767 · Unknown · Retrieval-Based-Voice-Conversion-Webui

Sylwia Budzynska + 1 · Publicado 2025-05-05 · Atualizado 2025-08-01 · CVE-2025-43852

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Retrieval-based-Voice-Conversion-WebUI versões 2.2.231006 e anteriores

Descrição O Retrieval-based-Voice-Conversion-WebUI é um framework de conversão de voz baseado em VITS. A variável model choose recebe entrada do usuário, como um caminho para um modelo, e a passa para a função uvr em vr.py. Se model name contiver a string "DeEcho", uma nova instância da classe AudioPreDeEcho é criada com o atributo model path contendo a entrada do usuário. Na classe AudioPreDeEcho, a entrada do usuário é usada para carregar o modelo nesse caminho com torch.load, o que pode levar à desserialização insegura e execução remota de código. Não existem correções conhecidas até o momento da publicação.

Recomendações Para as versões 2.2.231006 e anteriores, considere desativar a função uvr em vr.py ou restringir o uso da variável model choose para minimizar o risco de exploração até que uma correção esteja disponível. Evite usar o atributo model path na classe AudioPreDeEcho para carregar modelos de fontes não confiáveis. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2025-43852

Produtos afetados

Retrieval-Based-Voice-Conversion-Webui

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/43xxx/CVE-2025-43852.json · Exploit
• https://github.com/RVC-Project/Retrieval-based-Voice-Conversion-WebUI/blob/9f2f0559e6932c10c48642d404e7d2e771d9db43/infer-web.py#L1098 · Nota
• https://github.com/RVC-Project/Retrieval-based-Voice-Conversion-WebUI/blob/9f2f0559e6932c10c48642d404e7d2e771d9db43/infer-web.py#L1073 · Nota
• https://github.com/RVC-Project/Retrieval-based-Voice-Conversion-WebUI/blob/7ef19867780cf703841ebafb565a4e47d1ea86ff/infer/modules/uvr5/vr.py#L214 · Nota
• https://t.me/cveNotify/130584 · Publicação no Telegram
• https://t.me/latest_high_impact_cve/2273 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-43852 · Nota de Segurança
• https://twitter.com/cybercronai/status/1920063725286871048 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-43852 · Aviso do Fabricante
• https://t.me/cvedetector/24483 · Publicação no Telegram
• https://twitter.com/cybercronai/status/1919774327878131714 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1919581705129636302 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1919460346323959950 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1919465739343262072 · Publicação no Twitter
• https://securitylab.github.com/advisories/GHSL-2025-012_GHSL-2025-022_Retrieval-based-Voice-Conversion-WebUI · Aviso do Fabricante