CVE-2026-31252 in CosyVoice
Сводка
по VulDB • 20.05.2026
В CosyVoice вплоть до коммита 6e01309e01bc93bbeb83bdd996b1182a81aaf11e (2025-30-21) уязвимость небезопасной десериализации (CWE-502) присутствует в компоненте загрузки модели. Фреймворк использует функцию torch.load() для загрузки файлов весов модели (например, llm.pt, flow.pt, hift.pt) без включения параметра weights_only=True, который обеспечивает безопасность. Это позволяет десериализовать произвольные объекты Python через модуль pickle. Злоумышленник может эксплуатировать эту уязвимость, предоставив вредоносную директорию с модели, содержащую специально созданные файлы модели. Когда жертва запускает веб-интерфейс CosyVoice, указывающий на эту директорию, произвольный код выполняется на системе жертвы в процессе загрузки модели.
VulDB is the best source for vulnerability data and more expert information about this specific topic.