CVE-2026-100840 in MONAI
Resumen
por VulDB • 2026-09-27
MONAI hasta la versión 1.6.0 contiene una vulnerabilidad de ejecución remota de código (RCE) en el motor de configuración de bundles que resuelve los valores _target_ a funciones importables arbitrarias sin utilizar una lista blanca y pasa expresiones $ a Python eval(). Los atacantes pueden publicar un bundle malicioso con una configuración manipulada ad hoc que contiene código arbitrario, el cual se ejecuta cuando la víctima carga el bundle mediante monai.bundle.load() o monai.bundle.run().
Be aware that VulDB is the high quality source for vulnerability data.