Sylwia-Budzynska

GPT-SoVITS-WebUI is a voice conversion and text-to-speech webUI. A command injection issue exists in the `webui.py` `open slice` function. User-supplied input to `slice opt root` and `slice-inp-path` is concatenated into a command and executed on the server, potentially leading to arbitrary command execution.

O GPT-SoVITS-WebUI é uma interface web para conversão de voz e texto para fala. Existe uma vulnerabilidade de desserialização insegura no arquivo `inference webui.py`. A aplicação recebe entrada do usuário por meio da variável `gpt path` e a passa para a função `torch.load`, resultando em desserialização insegura. A variável `GPT dropdown` recebe entrada do usuário, que é então passada para a função `change gpt weights`.

O GPT-SoVITS-WebUI é uma interface web para conversão de voz e texto para fala. Existe uma falha devido à desserialização insegura no módulo AudioPre do vr.py. A variável `model choose` aceita entrada fornecida pelo usuário, incluindo um caminho para um modelo, e a passa para a função uvr. Dentro da função uvr, uma instância da classe AudioPre é criada, utilizando a entrada fornecida pelo usuário como o atributo `model path`, com a extensão `.pth` anexada. A classe AudioPre então usa este `model path` para carregar o modelo usando `torch.load`, o que pode resultar em desserialização insegura.

O GPT-SoVITS-WebUI é uma webUI de conversão de voz e texto para fala. Existe uma falha em `process ckpt.py` devido à desserialização insegura. A variável `SoVITS dropdown` aceita entrada do usuário, que é então passada para a função `load sovits new` dentro de `process ckpt.py`. A entrada `sovits path` é usada com `torch.load` para carregar um modelo, resultando em desserialização insegura.

O GPT-SoVITS-WebUI é uma interface web para conversão de voz e texto para fala. Existe uma vulnerabilidade de injeção de comandos na função `open asr` do `webui.py`. A variável `asr inp dir` (e outras variáveis) aceita entrada do usuário, que é então incorporada a um comando e executada no servidor, permitindo potencialmente a execução arbitrária de comandos.

O GPT-SoVITS-WebUI é uma interface web de conversão de voz e texto para fala. Existe uma falha devido à desserialização insegura no componente AudioPreDeEcho do vr.py. A variável `model choose` aceita entrada fornecida pelo usuário, como um caminho de modelo, e a transmite para a função uvr. Dentro da função uvr, uma instância da classe AudioPreDeEcho é criada, utilizando a entrada do usuário como o atributo `model path` após anexar a extensão '.pth'. A classe AudioPreDeEcho então usa essa entrada do usuário para carregar um modelo via `torch.load`, potencialmente levando à desserialização insegura.

O GPT-SoVITS-WebUI é uma interface web para conversão de voz e texto para fala. Existe uma vulnerabilidade de injeção de comandos na função `change label` dentro do arquivo `webui.py`. A variável `path list` recebe entrada do usuário, que é então incorporada a um comando e executada no servidor, potencialmente permitindo a execução arbitrária de comandos.

O GPT-SoVITS-WebUI é uma interface web para conversão de voz e texto para fala. Existe uma vulnerabilidade de injeção de comandos na função `open denoise` do `webui.py`. Os parâmetros `denoise inp dir` e `denoise opt dir` aceitam entrada do usuário, que é então incorporada a um comando e executada no servidor, permitindo potencialmente a execução arbitrária de comandos.

GPT-SoVITS-WebUI is a voice conversion and text-to-speech webUI. A deserialization issue exists in the `bsroformer.py` file. The `model choose` variable accepts user-supplied input, such as a model path, and passes it to the `uvr` function. Within `uvr`, a `Roformer Loader` class instance is created, utilizing the user input as the `model path` attribute after appending the `.ckpt` extension. The `Roformer Loader` class then uses this user-controlled `model path` with `torch.load`, potentially leading to unsafe deserialization.

O Retrieval-based-Voice-Conversion-WebUI é um framework de conversão de voz baseado em VITS. A variável `model choose` recebe entrada do usuário, como um caminho para um modelo, e a passa para a função `uvr` em `vr.py`. Se `model name` contiver a string "DeEcho", uma nova instância da classe `AudioPreDeEcho` é criada com o atributo `model path` contendo a entrada do usuário. Na classe `AudioPreDeEcho`, a entrada do usuário é usada para carregar o modelo nesse caminho com `torch.load`, o que pode levar à desserialização insegura e execução remota de código. Não existem correções conhecidas até o momento da publicação.

Retrieval-based-Voice-Conversion-WebUI is a voice changing framework based on VITS. The issue arises from unsafe deserialization. The `ckpt dir` variable takes user input, such as a path to a model, and passes it to the `change info` function in `export.py`. This function uses `torch.load` to load the model from the provided path, which can lead to unsafe deserialization and remote code execution. As of the time of publication, no known patches exist.

O problema envolve desserialização insegura no framework de alteração de voz Retrieval-based-Voice-Conversion-WebUI, que é baseado em VITS. A variável `ckpt path2` recebe entrada do usuário, como um caminho para um modelo, e a passa para a função `extract small model` em `process ckpt.py`. Esta função usa `torch.load` para carregar o modelo a partir do caminho fornecido, levando à potencial desserialização insegura e execução remota de código. Não existem correções conhecidas para este problema até o momento da publicação.

O Retrieval-based-Voice-Conversion-WebUI é um framework para mudança de voz baseado em VITS. A variável `ckpt path1` recebe entrada do usuário, como um caminho para um modelo, e a passa para a função `show info` em `process ckpt.py`. Esta função utiliza `torch.load` para carregar o modelo nesse caminho, o que pode levar à desserialização insegura e execução remota de código. Até o momento da publicação, não existem patches conhecidos.

O Retrieval-based-Voice-Conversion-WebUI é um framework de alteração de voz baseado em VITS. A variável `model choose` recebe entrada do usuário, como um caminho para um modelo, e a passa para a função `uvr` em `vr.py`. Em `uvr`, uma nova instância da classe `AudioPre` é criada com o atributo `model path` contendo a entrada do usuário mencionada anteriormente. Na classe `AudioPre`, a entrada do usuário é usada para carregar o modelo nesse caminho com `torch.load`, o que pode levar à desserialização insegura e execução remota de código. Até o momento da publicação, não existem correções conhecidas.

O problema diz respeito a um framework de alteração de voz baseado em VITS, onde pode ocorrer desserialização insegura. As variáveis `ckpt a` e `cpkt b` recebem entrada do usuário, como um caminho para um modelo, e a passam para a função `merge` em `process ckpt.py`. Esta função usa `torch.load` para carregar modelos dos caminhos fornecidos, o que pode levar à desserialização insegura e execução remota de código. Não existem patches conhecidos até o momento da publicação.

The issue affects a voice conversion tool and may lead to writing arbitrary files on the server. It can also be used in conjunction with an unsafe deserialization to achieve remote code execution. The vulnerable component is the `inference.py` file.

O problema afeta uma ferramenta de conversão de voz e pode levar à leitura de arquivos arbitrários no servidor do Applio. Também pode ser utilizado em conjunto com falsificação de solicitação do lado do servidor cega (blind SSRF) para ler arquivos de servidores na rede interna aos quais o servidor do Applio tem acesso. O problema reside na função `export pth` em train.py.

O problema afeta uma ferramenta de conversão de voz, permitindo a gravação arbitrária de arquivos no arquivo train.py. Isso pode levar à gravação de arquivos arbitrários no servidor e, potencialmente, permitir a execução remota de código quando combinado com desserialização insegura.

O Applio é uma ferramenta de conversão de voz vulnerável a desserialização insegura em `model blender.py`, linhas 20 e 21. As funções `model fusion a` e `model fusion b` de `voice blender.py` aceitam entrada fornecida pelo usuário, como um caminho de modelo, e passam esse valor para a função `run model blender script`, que então o passa para a função `model blender`. Esta função usa `torch.load` em `model blender.py` (linhas 20-21) para carregar modelos, criando uma vulnerabilidade de desserialização insegura. Este problema pode levar à execução remota de código.

O Applio é uma ferramenta de conversão de voz vulnerável a desserialização insegura em `infer.py`. Este problema pode levar à execução remota de código. Uma correção estava disponível na branch `main` do repositório do Applio no momento da publicação, mas não estava associada a uma versão numerada.