CVE-2024-39685 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Bert-VITS2 存在**任意命令执行**漏洞。 💥 **后果**：攻击者可远程执行系统指令，完全控制服务器。

🔍 **CWE**：CWE-78 (OS命令注入)。 🐛 **缺陷**：代码未对用户输入进行严格过滤，直接拼接执行。

🎯 **产品**：FishAudio 开源的 **Bert-VITS2**。 📦 **版本**：**2.3版本**受影响。

👑 **权限**：获得**高权限**（CVSS评分极高）。 📂 **数据**：可读取、修改、删除任意**敏感数据**，甚至控制整个系统。

🚪 **门槛**：**极低**。 🔓 **条件**：无需认证（PR:N），无需用户交互（UI:N），网络可达即可利用。

📜 **Exp**：数据中未提供现成PoC。 🔗 **参考**：GitHub Security Lab 已发布详细分析报告，技术细节公开。

🔎 **自查**：检查 `webui_preprocess.py` 文件。 📍 **位置**：重点关注第 **130-133行** 及 **46-52行** 的代码逻辑。

🛡️ **修复**：官方已发布安全公告。 📝 **建议**：立即查阅 GitHub 安全实验室的 Advisory 获取最新补丁或代码修正。

⚠️ **规避**：若无法立即升级，需**严格限制**输入参数。 🚫 **措施**：禁止直接执行用户提供的字符串，增加白名单校验。

🔥 **优先级**：**紧急**。 📈 **理由**：CVSS 3.1 满分风险（C:H/I:H/A:H），远程无认证利用，必须**立即处置**。