PT-2025-19767
CVE-2025-43852
·
تاريخ النشر
2025-05-05
·
تاريخ التحديث
2025-08-01
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
Retrieval-based-Voice-Conversion-WebUI الإصدارات 2.2.231006 والإصدارات الأقدم
الوصف
Retrieval-based-Voice-Conversion-WebUI هو إطار عمل لتحويل الصوت يعتمد على VITS. تستقبل المتغير
model choose مدخلات من المستخدم، مثل مسار نموذج، وتمررها إلى الدالة uvr في ملف vr.py. إذا احتوى model name على السلسلة ”DeEcho“، يتم إنشاء مثيل جديد من الفئة AudioPreDeEcho بحيث يحتوي السمة model path على مدخلات المستخدم. في الفئة AudioPreDeEcho، تُستخدم مدخلات المستخدم لتحميل النموذج الموجود في هذا المسار باستخدام torch.load، مما قد يؤدي إلى فك التسلسل غير الآمن وتنفيذ التعليمات البرمجية عن بُعد. لا توجد تصحيحات معروفة حتى وقت النشر.التوصيات
بالنسبة للإصدارات 2.2.231006 والإصدارات الأقدم، يُنصح بتعطيل الدالة
uvr في ملف vr.py أو تقييد استخدام المتغير model choose لتقليل مخاطر الاستغلال إلى أدنى حد حتى يتوفر تصحيح. تجنب استخدام السمة model path في الفئة AudioPreDeEcho لتحميل نماذج من مصادر غير موثوقة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾