PT-2025-29683 · Unknown · Gpt-Sovits-Webui

Sylwia Budzynska + 1 · Publicado 2025-07-15 · Atualizado 2025-07-16 · CVE-2025-49841

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas GPT-SoVITS-WebUI versões 20250228v3 e anteriores

Descrição O GPT-SoVITS-WebUI é uma webUI de conversão de voz e texto para fala. Existe uma falha em process ckpt.py devido à desserialização insegura. A variável SoVITS dropdown aceita entrada do usuário, que é então passada para a função load sovits new dentro de process ckpt.py. A entrada sovits path é usada com torch.load para carregar um modelo, resultando em desserialização insegura.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2025-49841

Produtos afetados

Gpt-Sovits-Webui

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/49xxx/CVE-2025-49841.json · Exploit
• 🔥 https://securitylab.github.com/advisories/GHSL-2025-049_GHSL-2025-053_RVC-Boss_GPT-SoVITS · Exploit
• https://github.com/RVC-Boss/GPT-SoVITS/blob/165882d64f474b3563fa91adc1a679436ae9c3b8/GPT_SoVITS/process_ckpt.py#L100-L106 · Nota
• https://github.com/RVC-Boss/GPT-SoVITS/blob/165882d64f474b3563fa91adc1a679436ae9c3b8/GPT_SoVITS/inference_webui.py#L926 · Nota
• https://github.com/RVC-Boss/GPT-SoVITS/blob/165882d64f474b3563fa91adc1a679436ae9c3b8/GPT_SoVITS/inference_webui.py#L873 · Nota
• https://osv.dev/vulnerability/CVE-2025-49841 · Aviso do Fabricante
• https://t.me/cvetracker/27911 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1945226025606000908 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-49841 · Nota de Segurança