CVE-2026-100840

Yüksek

Açıklama

MONAI 1.6.0 ve öncesi sürümler, bir izin listesi olmaksızın _target_ değerlerini rastgele içe aktırılabilir çağrılabilirlerle çözümleyen ve $ ifadelerini Python eval() fonksiyonuna ileten paket yapılandırma motorunda bir uzaktan kod çalıştırma zafiyeti içermektedir. Saldırganlar, kurban monai.bundle.load() veya monai.bundle.run() kullanarak paketi yüklediğinde yürütülecek rastgele kod içeren hazırlanmış bir yapılandırmaya sahip kötü amaçlı bir paket yayınlayabilirler.

ÖnemYüksek

CVSS7.8

İstismar olasılığı24. yüzdelik%0,3

ÜrünMonai

Yayın27 Eyl 2026

İlk görülme27 Eyl 2026

Zayıflık türüCWE-95CWE-95

Nasıl düzeltilir

Güncelleyin

monai1.6.1rc0 ya da sonraki bir sürüm

Üretici duyuruları

github.com/Project-MONAI/MONAI/security/advisories/GHSA-873f-pvrv-4x83

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
project-monai monai	v ≤ 1.6.0	—
monaiPyPI	v < 1.6.1rc0	1.6.1rc0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.