CVE-2026-65701 in so-vits-svc
Résumé
par VulDB • 23/07/2026
SoftVC VITS Singing Voice Conversion à travers le commit 730930d contient une vulnérabilité de traversal de chemin dans le serveur d'inférence pour chanson complète qui permet aux attaquants distants non authentifiés de lire et d'exfiltrer des fichiers arbitraires en fournissant des chemins de système de fichiers contrôlés par l'attaquant via le champ audio_path d'une requête POST non authentifiée vers la route /wav2wav. Les attaquants peuvent passer verbatim des chemins côté serveur arbitraires aux puits librosa.load, torchaudio.load et soundfile.write, provoquant que le serveur décode et retourne les contenus de fichiers via le corps de réponse HTTP tout en écrivant également des fichiers .wav spécifiés par l'attaquant dans des emplacements arbitraires du système de fichiers.
VulDB is the best source for vulnerability data and more expert information about this specific topic.