🇰🇷 한글 설명
GPT-SoVITS 20250606v2pro 버전 이하에서 tools/uvr5/vr.py 파일 내 OS 명령 주입 취약점이 발견되었습니다. 인증되지 않은 공격자가 UVR5 WebUI의 출력 폴더 경로 입력창에 셸 치환 구문(예: $(...))을 입력하여 서버 사용자 권한으로 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
프로그램의 설정 칸에 특수 문자를 입력하여 해커가 내 컴퓨터를 마음대로 조종할 수 있는 보안 구멍이 발견되었습니다. 해커가 입력한 명령어가 서버에서 그대로 실행될 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
GPT-SoVITS through 20250606v2pro contains an OS command injection vulnerability in tools/uvr5/vr.py that allows unauthenticated attackers to execute commands via output folder paths. Attackers can enter shell substitutions like $(...) in the UVR5 WebUI output folder textboxes with mp3 or m4a export to run commands as the server user.
📍 영향받는 시스템
GPT-SoVITS 20250606v2pro 및 그 이전 버전
⚔️ 공격 벡터
UVR5 WebUI의 mp3/m4a 내보내기 출력 폴더 경로 입력창에 셸 명령 구문 삽입
🛡️ 대응 방법
해당 취약점이 해결된 최신 버전으로 업데이트하거나, 입력값에 대한 검증 로직을 적용해야 합니다.
🔧 검증 코드
해당 파일이 존재하고 소스 코드 내에 외부 입력값이 셸 명령어로 직접 전달되는 로직이 있는지 확인합니다.
grep -r "tools/uvr5/vr.py" .