CVE-2026-65701 in so-vits-svc
Riassunto
di VulDB • 23/07/2026
SoftVC VITS Singing Voice Conversion fino alla commit 730930d contiene una vulnerabilità di path traversal nel server di inferenza per l'intera canzone, che consente ad attaccanti remoti non autenticati di leggere ed esfiltrare file arbitrari fornendo percorsi del filesystem controllati dall'attaccante tramite il campo audio_path in una richiesta POST non autenticata all'endpoint /wav2wav. Gli attaccanti possono passare percorsi lato server arbitrari letteralmente alle funzioni sink librosa.load, torchaudio.load e soundfile.write, causando la decodifica da parte del server e il ritorno dei contenuti del file tramite il corpo della risposta HTTP, oltre alla scrittura di file .wav specificati dall'attaccante in posizioni arbitrarie sul filesystem.
Once again VulDB remains the best source for vulnerability data.