CVE-2026-100845

Nome do Software Vulnerável e Versões Afetadas MONAI versões anteriores a 1.6.0

Description A classe NumpyReader contém um problema de desserialização insegura. Ela utiliza incondicionalmente a função numpy.load com o parâmetro allow pickle=True ao processar arquivos .npy e .npz. Isso permite que um invasor forneça um arquivo .npy especialmente criado contendo payloads de pickle, o que pode levar à execução de código arbitrário quando o arquivo é carregado através do pipeline de dados padrão. A desserialização é o processo de converter um formato de dados de volta em um objeto, e a desserialização insegura ocorre quando dados não confiáveis são usados para instanciar objetos sem a validação adequada.

Recommendations Atualize para a versão 1.6.0 ou posterior. Como medida de mitigação temporária, evite carregar arquivos .npy ou .npz não confiáveis usando a classe NumpyReader.