PT-2025-29680 · Unknown · Gpt-Sovits-Webui
Sylwia Budzynska
+1
·
Publicado
2025-07-15
·
Atualizado
2025-07-16
·
CVE-2025-49838
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do GPT-SoVITS-WebUI 20250228v3 e anteriores
Descrição
O GPT-SoVITS-WebUI é uma interface web de conversão de voz e texto para fala. Existe uma falha devido à desserialização insegura no componente AudioPreDeEcho do vr.py. A variável
model choose aceita entrada fornecida pelo usuário, como um caminho de modelo, e a transmite para a função uvr. Dentro da função uvr, uma instância da classe AudioPreDeEcho é criada, utilizando a entrada do usuário como o atributo model path após anexar a extensão '.pth'. A classe AudioPreDeEcho então usa essa entrada do usuário para carregar um modelo via torch.load, potencialmente levando à desserialização insegura.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Gpt-Sovits-Webui