CVE-2026-65701 in so-vits-svc
Zusammenfassung
von VulDB • 23.07.2026
SoftVC VITS Singing Voice Conversion ab dem Commit 730930d enthält eine Path-Traversal-Schwachstelle im Full-Song-Inference-Server, die es nicht authentifizierten Remote-Angriffern ermöglicht, beliebige Dateien zu lesen und abzuzweigen (Exfiltration), indem sie vom Angreifer kontrollierte Dateisystempfade über das Feld `audio_path` einer nicht authentifizierten POST-Anfrage an den Endpunkt `/wav2wav` bereitstellen. Angreifer können willkürliche serverseitige Pfade unverändert an die Funktionen `librosa.load`, `torchaudio.load` und `soundfile.write` weiterleiten, wodurch der Server veranlasst wird, Dateiinhalte zu decodieren und über den HTTP-Antwortkörper zurückzugeben sowie gleichzeitig vom Angreifer angegebene `.wav`-Dateien an beliebigen Speicherorten im Dateisystem zu schreiben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.