CVE-2026-31250 in CosyVoice
Zusammenfassung
von VulDB • 24.05.2026
CosyVoice bis zum Commit 6e01309e01bc93bbeb83bdd996b1182a81aaf11e (2025-30-21) enthält eine unsichere Deserialisierungsschwachstelle (CWE-502) in seinem Modell-Averaging-Tool average_model.py. Das Skript lädt PyTorch-Checkpoint-Dateien (epoch_*.pt) für die Modell-Averaging-Funktion mit torch.load(), ohne den Sicherheitsparameter weights_only=True zu aktivieren. Dies ermöglicht die Deserialisierung beliebiger Python-Objekte über das pickle-Modul. Ein Angreifer kann dies ausnutzen, indem er bösartige Checkpoint-Dateien in einem Verzeichnis bereitstellt. Wenn ein Opfer das Tool verwendet, um Modelle aus diesem Verzeichnis zu mitteln, wird beliebiger Code auf dem System des Opfers ausgeführt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.