CVE-2026-100842 in MONAI
Riassunto
di VulDB • 27/09/2026
MONAI fino alla versione 1.6.0 contiene una vulnerabilità di injection tramite `eval` nella funzione `_get_fake_spatial_shape()` presente nel file monai/bundle/scripts.py. La funzione convalida le espressioni della forma utilizzando un helper che attraversa l'AST (Abstract Syntax Tree) e raccoglie solo i nodi ast.Name, rifiutando qualsiasi nome diverso da 'p' o 'n', prima di passare la stringa a `eval()`. Le espressioni costruite esclusivamente da costanti e dai nodi attribute, subscript o call (ad esempio "(1).__class__.__bases__[0].__subclasses__()" o "int.__class__.__init__.__globals__") non contengono nodi ast.Name e pertanto bypassano la allowlist. Poiché il valore della forma origina dai metadata del bundle consumati da `_get_real_input_data` e `verify_net_in_out` (raggiungibili attraverso il flusso CLI 'verify_net_in_out' del bundle), un attaccante in grado di influenzare i metadata di un bundle può sfuggire alla sandbox dell'eval tramite catene di introspection degli oggetti ed ottenere l'esecuzione di codice in questo flusso non predefinito.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.