Retrieval-based-Voice-Conversion-WebUI: unsichere Deserialisierung ermöglicht Codeausführung

Beschreibung

Retrieval-based-Voice-Conversion-WebUI ist ein auf VITS basierendes Framework zur Stimmenveränderung. In den Versionen 2.2.231006 und älter besteht eine Schwachstelle durch unsichere Deserialisierung. Die Variable model_choose übernimmt eine Benutzereingabe (etwa einen Pfad zu einem Modell) und reicht sie an die Funktion uvr in vr.py weiter, wo der Pfad über torch.load geladen wird. Dies kann zu unsicherer Deserialisierung und damit zur Ausführung von Schadcode aus der Ferne führen. Zum Zeitpunkt der Veröffentlichung waren keine Patches bekannt. CVSS-Basiswert: 9.8 (Kritisch).

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Open WebUI

• CVE-2026-63766 – OS-Command-Injection in GPT-SoVITS (webui.py) CVE-2026-63766
• Hermes WebUI: unauthentifizierte Remote Code Execution über die eingebettete Terminal-API CVE-2026-58123
• Unsichere Berechtigungen in LangChain-ChatGLM-Webui CVE-2025-45150
• Command-Injection in GPT-SoVITS-WebUI (open_slice) CVE-2025-49833
• GPT-SoVITS-WebUI – Command Injection in open_denoise CVE-2025-49834
• Command Injection in GPT-SoVITS-WebUI CVE-2025-49835