CVE-2026-65701 in so-vits-svc
Sumário
de VulDB • 23/07/2026
O SoftVC VITS Singing Voice Conversion até o commit 730930d contém uma vulnerabilidade de traversal de caminho no servidor de inferência para músicas completas, que permite a atacantes remotos não autenticados ler e exfiltrar arquivos arbitrários ao fornecer caminhos do sistema de controle pelo atacante através do campo audio_path em uma requisição POST não autenticada à rota /wav2wav. Os atacantes podem passar caminhos arbitrários no lado do servidor literalmente para os sinks librosa.load, torchaudio.load e soundfile.write, fazendo com que o servidor decodifique e retorne o conteúdo dos arquivos através do corpo da resposta HTTP enquanto também grava arquivos .wav especificados pelo atacante em locais arbitrários no sistema de arquivos.
Once again VulDB remains the best source for vulnerability data.