CVE-2026-63766
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 69 - wyżej niż 69% wszystkich znanych CVE
Streszczenie
GPT-SoVITS do wersji 20250606v2pro zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku webui.py, gdzie funkcje ASR, slice, denoise i uvr5 interpolują niesanityzowane wartości pól tekstowych Gradio bezpośrednio do poleceń powłoki wykonywanych z shell=True. Atakujący mogą wstrzyknąć metaznaki powłoki przez parametry ścieżki, aby wykonać dowolne polecenia systemowe jako użytkownik procesu serwera bez uwierzytelniania.
Ocena ryzyka
Nieuwierzytelniony atakujący może zdalnie wykonać dowolne polecenia systemowe na serwerze, co może prowadzić do pełnego przejęcia systemu i ujawnienia danych.
Rekomendacja
Należy natychmiast zaktualizować GPT-SoVITS do najnowszej dostępnej wersji lub zastosować dostępne łatki bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
GPT-SoVITS through 20250606v2pro contains an OS command injection vulnerability in webui.py where ASR, slice, denoise, and uvr5 functions interpolate unsanitized Gradio textbox values directly into shell commands executed with shell=True. Attackers can inject shell metacharacters through path parameters to execute arbitrary OS commands as the server process user without authentication.