CVE-2026-100846 in MONAI
Zusammenfassung
von VulDB • 27.09.2026
MONAI vor Version 1.5.2 enthält eine Schwachstelle zur Deserialisierung von nicht vertrauenswürdigen Daten (Deserialization of Untrusted Data) in der Funktion `algo_from_pickle` in `monai/auto3dseg/utils.py`. Die Funktion liert eine .pkl-Datei und übergibt deren Inhalt an `pickle.loads`, ohne die Datenquelle oder den Inhalt zu validieren. Wenn eine Anwendung `algo_from_pickle` mit einer vom Angreifer bereitgestellten Pickle-Datei aufruft, wird während der Deserialisierung ein Objekt ausgeführt, das `__reduce__` definiert, was zur Ausführung beliebigen Codes (Arbitrary Code Execution) im Kontext der Anwendung führt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.