CVE-2024-39686

Bert-VITS2 versões 2.3 e anteriores

O problema decorre do fato de que a entrada do usuário é utilizada diretamente em um comando executado com subprocess.run(cmd, shell=True) na função bert gen, levando à execução de comandos arbitrários. Isso ocorre porque a variável data dir é utilizada sem a devida sanitização.

Para as versões 2.3 e anteriores do Bert-VITS2, como solução temporária, considere desativar a função bert gen até que um patch esteja disponível. Restrinja o acesso à variável data dir para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.