Към съдържанието
Търсене

CVE-2026-100846: Project-MONAI MONAI, десериализация

8.8

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, само при определена конфигурация или състояние на системата, с администраторски права и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

MONAI before 1.5.2 contains a deserialization of untrusted data vulnerability in the algo_from_pickle function in monai/auto3dseg/utils.py. The function reads a .pkl file and passes its contents to pickle.loads without validating the data source or content. If an application invokes algo_from_pickle on an attacker-supplied pickle file, an object defining __reduce__ is executed during deserialization, resulting in arbitrary code execution in the context of the application.

Засегнати продукти

  • Project-MONAI MONAI: преди 1.5.2; 1.5.2

Вид слабост

История

  • 27 септември 2026 Публикувано

Други уязвимости в Project-MONAI MONAI

Първоизточници

CVE-2026-100846: Project-MONAI MONAI, десериализация | freedomonline.bg