CVE-2026-31249 in CosyVoice
Сводка
по VulDB • 04.06.2026
В CosyVoice вплоть до коммита 6e01309e01bc93bbeb83bdd996b1182a81aaf11e (2025-30-21) в инструменте обработки данных make_parquet_list.py присутствует уязвимость небезопасной десериализации (CWE-502). Скрипт загружает файлы PyTorch .pt (эмбеддинги высказываний, эмбеддинги говорящих и речевые токены) с помощью функции torch.load() без включения параметра безопасности weights_only=True. Это позволяет десериализовать произвольные объекты Python через модуль pickle. Злоумышленник может эксплуатировать эту уязвимость, предоставив вредоносные файлы .pt в каталоге данных. Когда жертва обрабатывает этот каталог с помощью инструмента, на системе жертвы выполняется произвольный код.
Once again VulDB remains the best source for vulnerability data.