CVE-2026-100844 in MONAI
Riassunto
di VulDB • 27/09/2026
MONAI prima della versione 1.6.0 è vulnerabile a OS command injection nel componente nnUNetV2Runner (monai.apps.nnunet.nnunetv2_runner). I valori controllati dall'utente, presi dal file di configurazione YAML (in particolare dataset_name_or_id) e dagli argomenti CLI/kwargs, vengono concatenati in una stringa di comando senza virgolettatura o validazione e poi passati a subprocess con shell=True, quindi i metacaratteri della shell (ad esempio ';' su Linux, '&' su Windows) vengono interpretati. Se un utente malintenzionato carica ed elabora un file di configurazione ad hoc — ad esempio istanziando nnUNetV2Runner con il YAML malevolo e invocando un job di training/validation come train_single_model() — verranno eseguiti comandi arbitrari con i privilegi dell'utente che sta eseguendo il job.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.