PT-2025-19764
CVE-2025-43849
·
تاريخ النشر
2025-05-05
·
تاريخ التحديث
2025-08-01
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
الإصدارات 2.2.231006 وما قبلها من Retrieval-based-Voice-Conversion-WebUI
الوصف
تتعلق المشكلة بإطار عمل لتغيير الصوت يعتمد على VITS، حيث قد تحدث عملية إزالة التسلسل غير الآمنة. تتلقى المتغيرات
ckpt a وcpkt b مدخلات من المستخدم، مثل مسار نموذج، وتمررها إلى الدالة merge في ملف process ckpt.py. تستخدم هذه الدالة torch.load لتحميل النماذج من المسارات المحددة، مما قد يؤدي إلى إزالة التسلسل غير الآمنة وتنفيذ التعليمات البرمجية عن بُعد. لا توجد تصحيحات معروفة حتى وقت النشر.التوصيات
بالنسبة للإصدارات 2.2.231006 والإصدارات الأقدم، يُنصح بتعطيل الدالة
merge في ملف process ckpt.py حتى يتوفر تصحيح لمنع عملية إزالة التسلسل غير الآمنة.قم بتقييد الوصول إلى المتغيرين
ckpt a وcpkt b لتقليل مخاطر الاستغلال.تجنب استخدام الدالة
torch.load مع مدخلات غير موثوقة حتى يتم حل المشكلة.في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾