جزئیات آسیب‌پذیری

CVE-2026-119578

Project-MONAI MONAI

MONAI 1.6.0 before 1.6.1 Code Execution via Auto3DSeg algo_from_json()

CVSS 4.0

8.5بالا

نمای کلی اکسپلویت‌های عمومی اخبار مرتبط خط زمانی

خلاصه‌ی فارسی

خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.

شرح رسمی (انگلیسی)

MONAI from 1.6.0 before 1.6.1 contains a remote code execution vulnerability in Auto3DSeg algo_from_json() that allows attackers to run Python code via a crafted work directory's algo_object.json. Attackers can ship a malicious algorithm_templates module plus a _target_ name that is imported and instantiated when victims call AutoRunner or import_bundle_algo_history, executing code under default configuration.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
8.5بالا	4.0	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`
7.8بالا	3.1	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
Project-MONAI	MONAI	1.6.0 ≤ v < 1.6.1	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://www.vulncheck.com/advisories/monai-1.6.0-before-1.6.1-code-execution-via-auto3dseg-algo-from-json third-party-advisory
https://github.com/Project-MONAI/MONAI/security/advisories/GHSA-2wx3-8x3w-r8qv vendor-advisory

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۸/۰۸
آخرین به‌روزرسانی: ۱۴۰۵/۰۸/۰۸
وضعیت: PUBLISHED
صادرکننده (CNA): VulnCheck
اولویت کلون: به‌زودی

پیش‌بینی بهره‌برداری (EPSS)

۰٫۵۵٪

احتمال بهره‌برداری در ۳۰ روز

۴۶٫۱٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

Automatable: no
Exploitation: poc
Technical Impact: total

ضعف‌ها (CWE)

CWE-470
Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection')