Vulnerabilidad en Retrieval-based-Voice-Conversion-WebUI (CVE-2025-43852)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-502
Deserialización de datos no confiables
Fecha de publicación:
05/05/2025
Última modificación:
05/05/2025
Descripción
Retrieval-based-Voice-Conversion-WebUI es un framework de modificación de voz basado en VITS. Las versiones 2.2.231006 y anteriores son vulnerables a deserialización insegura. La variable model_choose toma la entrada del usuario (por ejemplo, la ruta a un modelo) y la pasa a la función uvr en vr.py. En uvr, si model_name contiene la cadena "DeEcho", se crea una nueva instancia de la clase AudioPreDeEcho con el atributo model_path que contiene la entrada del usuario mencionada. En la clase AudioPreDeEcho, la entrada del usuario se utiliza para cargar el modelo en esa ruta con torch.load, lo que puede provocar deserialización insegura y ejecución remota de código. Al momento de la publicación, no se conocían parches.
Referencias a soluciones, herramientas e información
- https://github.com/RVC-Project/Retrieval-based-Voice-Conversion-WebUI/blob/7ef19867780cf703841ebafb565a4e47d1ea86ff/infer/modules/uvr5/vr.py#L214
- https://github.com/RVC-Project/Retrieval-based-Voice-Conversion-WebUI/blob/9f2f0559e6932c10c48642d404e7d2e771d9db43/infer-web.py#L1073
- https://github.com/RVC-Project/Retrieval-based-Voice-Conversion-WebUI/blob/9f2f0559e6932c10c48642d404e7d2e771d9db43/infer-web.py#L1098
- https://securitylab.github.com/advisories/GHSL-2025-012_GHSL-2025-022_Retrieval-based-Voice-Conversion-WebUI/