CVE-2025-71429

KrytyczneCVSS 9.8

Opublikowano: 12/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Streszczenie

GPT-SoVITS do wersji 20250606v2pro zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku tools/uvr5/vr.py, która pozwala nieuwierzytelnionym atakującym wykonywać polecenia przez ścieżki folderów wyjściowych. Atakujący mogą wprowadzić substytucje powłoki, takie jak $(...), w polach tekstowych folderu wyjściowego UVR5 WebUI z eksportem mp3 lub m4a, aby uruchomić polecenia jako użytkownik serwera.

Ocena ryzyka

Nieuwierzytelniony atakujący może wykonać dowolne polecenia na serwerze, co może prowadzić do pełnej kompromitacji systemu i danych.

Rekomendacja

Zaktualizuj GPT-SoVITS do najnowszej wersji. Ogranicz dostęp do UVR5 WebUI i nie udostępniaj go publicznie bez zabezpieczeń.

Inne podatności w GPT-SoVITS

CVE-2026-63766Krytyczne
GPT-SoVITS do wersji 20250606v2pro zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku webui.py, gdzie funkcje ASR, slice, denoise i uvr5 interpolują niesanityzowane wartości pól tekstowych Gradio bezpośrednio do poleceń powłoki wykonywanych z shell=True. Atakujący mogą wstrzyknąć metaznaki powłoki przez parametry ścieżki, aby wykonać dowolne polecenia systemowe jako użytkownik procesu serwera bez uwierzytelniania.

Oryginalny opis (angielski, źródło NVD)

GPT-SoVITS through 20250606v2pro contains an OS command injection vulnerability in tools/uvr5/vr.py that allows unauthenticated attackers to execute commands via output folder paths. Attackers can enter shell substitutions like $(...) in the UVR5 WebUI output folder textboxes with mp3 or m4a export to run commands as the server user.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS