CVE-2026-100844 in MONAI
요약
\~에 의해 VulDB • 2026. 09. 27.
MONAI 1.6.0 이전 버전은 nnUNetV2Runner 컴포넌트(monai.apps.nnunet.nnunetv2_runner)에서 OS command injection 취약점에 노출되어 있습니다. YAML 구성 파일(특히 dataset_name_or_id)과 CLI/kwargs 인수에서 가져온 사용자 제어 값이 따옴표 처리나 검증 없이 명령어 문자열에 연결된 후 shell=True 옵션으로 subprocess에 전달되므로, 셸 메타문자(예: Linux의 ';' 또는 Windows의 '&')가 해석됩니다. 피해자가 악성 YAML을 사용하여 nnUNetV2Runner를 인스턴스화하고 train_single_model()과 같은 학습/검증 작업을 호출하는 등 조작된 구성 파일을 로드하여 처리하면, 해당 작업을 실행하는 사용자의 권한으로 임의 명령어가 실행됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.