PT-2026-39664

CVE-2026-44346

Publicado

2026-05-11

Atualizado

2026-06-02

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas BentoML versões anteriores a 1.4.39

Description BentoML é uma biblioteca Python utilizada para a construção de sistemas de serviço online otimizados para aplicativos de IA e inferência de modelos. Existe uma falha onde um arquivo bentofile.yaml malicioso contendo um valor com injeção de nova linha na variável envs[*].name pode produzir diretivas RUN não citadas no Dockerfile gerado. Quando o comando bentoml containerize é executado no bento importado, essas diretivas RUN são executadas no sistema host durante o processo de build do docker.

Recommendations Atualizar para a versão 1.4.39.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Ssjcorpsec

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-94: Improper Control of Generation of Code (\'Code Injection\')

CWE-78: Improper Neutralization of Special Elements used in an OS Command (\'OS Command Injection\')