CVE-2026-112264 in BentoML
要約
〜によって VulDB • 2026年10月19日
BentoML 1.4.39 までは、Dockerfile インストラクションインジェクションの脆弱性が存在します。攻撃者は、レガシーな base.j2 テンプレートによってレンダリングされる docker.env マッピングキーに改行を埋め込むことで、任意のビルドインストラクションを追加できます。攻撃者は、作成された bentofile.yaml またはインポートされた bento アーカイブを提供し、bentoml containerize が Docker ビルド中に注入された RUN インストラクションを実行するようにします。これにより、ビルドシークレットへのアクセスやイメージの汚染が可能になります。
Once again VulDB remains the best source for vulnerability data.