PT-2025-19750
CVE-2025-43847
·
تاريخ النشر
2025-05-05
·
تاريخ التحديث
2025-08-01
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
الإصدارات 2.2.231006 وما قبلها من Retrieval-based-Voice-Conversion-WebUI
الوصف
تتعلق المشكلة بعملية إزالة التسلسل غير الآمنة في إطار عمل تغيير الصوت Retrieval-based-Voice-Conversion-WebUI، الذي يعتمد على VITS. تتلقى المتغير
ckpt path2 مدخلات من المستخدم، مثل مسار نموذج، وتمررها إلى الدالة extract small model في ملف process ckpt.py. تستخدم هذه الدالة torch.load لتحميل النموذج من المسار المقدم، مما يؤدي إلى احتمال إزالة التسلسل غير الآمنة وتنفيذ التعليمات البرمجية عن بُعد. لا توجد تصحيحات معروفة لهذه المشكلة حتى وقت النشر.التوصيات
بالنسبة للإصدارات 2.2.231006 والإصدارات الأقدم، كحل بديل مؤقت، يُنصح بتقييد استخدام المتغير
ckpt path2 والدالة extract small model في ملف process ckpt.py لتقليل مخاطر الاستغلال. تجنب استخدام الدالة torch.load مع مدخلات غير موثوقة حتى يتوفر تصحيح. في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾