CVE-2026-65701 in so-vits-svc
要約
〜によって VulDB • 2026年07月26日
commit 730930d を含む SoftVC VITS Singing Voice Conversion のフルソング推論サーバーには、パストラバーサル脆弱性があります。これにより、認証されていない攻撃者は /wav2wav ルートへの認証不要の POST リクエストにおける audio_path フィールドを通じて攻撃者が制御するファイルシステムパスを指定することで、任意のファイルを読み取り、外部に漏洩させることができます。攻撃者は、librosa.load、torchaudio.load、soundfile.write の各シンクに対して、サーバー側の任意のパスをそのまま渡すことができ、その結果、サーバーは HTTP レスポンスボディ経由でファイルの内容をデコードして返すと同時に、ファイルシステム上の任意の場所に攻撃者が指定した .wav ファイルを書き込みます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.