Retrieval-based-Voice-Conversion-WebUI – Unsichere Deserialisierung

Beschreibung

Retrieval-based-Voice-Conversion-WebUI ist ein auf VITS basierendes Framework zur Stimmveränderung. Versionen 2.2.231006 und früher sind anfällig für unsichere Deserialisierung: Die Variable ckpt_path2 übernimmt Benutzereingaben und lädt über die Funktion extract_small_model in process_ckpt.py mit torch.load das Modell, was zu unsicherer Deserialisierung und Remote Code Execution führen kann. CVSS-Basiswert: 9.8 (Kritisch). Zum Zeitpunkt der Veröffentlichung existierte kein Patch.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Open WebUI

• CVE-2026-63766 – OS-Command-Injection in GPT-SoVITS (webui.py) CVE-2026-63766
• Hermes WebUI: unauthentifizierte Remote Code Execution über die eingebettete Terminal-API CVE-2026-58123
• Unsichere Berechtigungen in LangChain-ChatGLM-Webui CVE-2025-45150
• Command-Injection in GPT-SoVITS-WebUI (open_slice) CVE-2025-49833
• GPT-SoVITS-WebUI – Command Injection in open_denoise CVE-2025-49834
• Command Injection in GPT-SoVITS-WebUI CVE-2025-49835