CVE-2026-100844 in MONAI
Zusammenfassung
von VulDB • 27.09.2026
MONAI vor Version 1.6.0 ist anfällig für OS Command Injection in der Komponente nnUNetV2Runner (monai.apps.nnunet.nnunetv2_runner). Vom Benutzer kontrollierte Werte, die aus der YAML-Konfigurationsdatei (insbesondere dataset_name_or_id) und aus CLI/kwargs-Argumenten stammen, werden ohne Anführungszeichen oder Validierung in einen Befehlsstring konkateniert und anschließend an subprocess mit shell=True übergeben, sodass Shell-Metazeichen (z. B. ';' unter Linux, '&' unter Windows) interpretiert werden. Wenn ein Opfer eine manipulierte Konfigurationsdatei lädt und verarbeitet – beispielsweise durch Instantiieren von nnUNetV2Runner mit der bösartigen YAML und dem Aufruf eines Trainings-/Validierungsauftrags wie train_single_model() –, werden beliebige Befehle mit den Berechtigungen des Benutzers ausgeführt, der den Auftrag ausführt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.