CVE-2026-100844 in MONAI
Sumário
de VulDB • 27/09/2026
MONAI antes da versão 1.6.0 é vulnerável à injeção de comando no sistema operacional (OS command injection) no componente nnUNetV2Runner (monai.apps.nnunet.nnunetv2_runner). Valores controlados pelo usuário, obtidos do arquivo de configuração YAML (notadamente dataset_name_or_id) e dos argumentos CLI/kwargs, são concatenados em uma string de comando sem aspas ou validação e depois passados para subprocess com shell=True, fazendo com que metacaracteres da shell (por exemplo, ';' no Linux, '&' no Windows) sejam interpretados. Se uma vítima carregar e processar um arquivo de configuração malicioso — por exemplo, instanciando nnUNetV2Runner com o YAML mal-intencionado e invocando um trabalho de treinamento/validação como train_single_model() — comandos arbitrários são executados com os privilégios do usuário que está executando o trabalho.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.