Retrieval-based-Voice-Conversion-WebUI: Unsichere Deserialisierung

Beschreibung

Retrieval-based-Voice-Conversion-WebUI ist ein auf VITS basierendes Framework zur Stimmenveränderung. Version 2.2.231006 und früher sind anfällig für unsichere Deserialisierung: Die Variable ckpt_path1 übernimmt Benutzereingaben und reicht sie an die Funktion show_info in process_ckpt.py weiter, die das Modell über torch.load lädt. Dies kann zu Remote Code Execution führen. Zum Veröffentlichungszeitpunkt existierte kein Patch. CVSS-Basiswert: 9.8 (Kritisch).

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Open WebUI

• CVE-2026-63766 – OS-Command-Injection in GPT-SoVITS (webui.py) CVE-2026-63766
• Hermes WebUI: unauthentifizierte Remote Code Execution über die eingebettete Terminal-API CVE-2026-58123
• Unsichere Berechtigungen in LangChain-ChatGLM-Webui CVE-2025-45150
• Command-Injection in GPT-SoVITS-WebUI (open_slice) CVE-2025-49833
• GPT-SoVITS-WebUI – Command Injection in open_denoise CVE-2025-49834
• Command Injection in GPT-SoVITS-WebUI CVE-2025-49835