CVE-2026-100840

Nome do Software Vulnerável e Versões Afetadas MONAI versões anteriores a 1.6.1

Description O mecanismo de configuração de pacotes permite a execução remota de código porque resolve valores target para chamadas importáveis arbitrárias sem utilizar uma lista de permissões e passa expressões $ para a função eval() do Python. Um invasor pode publicar um pacote malicioso com uma configuração manipulada contendo código arbitrário que é executado quando a vítima utiliza as funções monai.bundle.load() ou monai.bundle.run().

Recommendations Atualize para a versão 1.6.1 ou posterior. Como mitigação temporária, evite usar as funções monai.bundle.load() e monai.bundle.run() com pacotes de fontes não confiáveis.