JVNDB-2026-036184

Project-monaiのMONAIにおけるEval インジェクションに関する脆弱性

MONAI 1.6.0までに存在する脆弱性は、バンドル構成エンジンにおけるリモートコード実行の脆弱性です。このバンドル構成エンジンは、許可リストなしで任意のimport可能な呼び出し可能オブジェクトに_target_値を解決し、$式をPythonのeval()に渡します。攻撃者は、悪意のあるコードを含む巧妙に作成された構成を持つ悪意のあるバンドルを公開でき、被害者がmonai.bundle.load()またはmonai.bundle.run()を使用してバンドルをロードすると、そのコードが実行されます。

Project-monai

• MONAI 1.6.0 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Remote code execution when loading an untrusted MONAI bundle (ConfigParser `_target_` and `$` expression instantiation)  Advisory  Project-MONAI/MONAI  GitHub

VulnCheck

• VulnCheck : MONAI through 1.6.0 Remote Code Execution via bundle configuration  | Advisories | VulnCheck

1. Eval インジェクション(CWE-95) [その他]

1. CVE-2026-100840

1. National Vulnerability Database (NVD) : CVE-2026-100840

• [2026年10月02日]
    掲載