CVE-2026-111865 Inyección de código eval en la carga de modelos AutoBackend de THU-MIG yoloe

Qué es CVE-2026-111865

Una falla de seguridad en THU-MIG yoloe hasta 40cd606cabdbe2b566d6f14a6b162c89206e9a1b afecta la función eval del archivo ultralytics/nn/autobackend.py del componente AutoBackend Model Loading. La manipulación de los argumentos imgsz/names/kpt_shape provoca neutralización inadecuada de directivas en código evaluado dinámicamente. El ataque requiere un enfoque local y el exploit es público; el producto no usa versionado, por lo que no hay información de versiones afectadas ni corregidas.

Productos y versiones afectadas

• THU-MIG yoloe

  • 40cd606cabdbe2b566d6f14a6b162c89206e9a1b

Qué hacer

1. Verificá si usás yoloe y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:C

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Baja

MADUREZ DEL EXPLOIT (E)

Prueba de concepto

CONFIANZA DEL INFORME (RC)

Confirmada

CVSS 4.0 · 4.8 MEDIA

CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Baja

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Baja

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Baja

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

MADUREZ DEL EXPLOIT (E)

Prueba de concepto

CVSS 3.0 · 5.3 MEDIA

CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:C

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Baja

MADUREZ DEL EXPLOIT (E)

Prueba de concepto

CONFIANZA DEL INFORME (RC)

Confirmada

Abrir la calculadora completa →

Descripción original

A security flaw has been discovered in THU-MIG yoloe up to 40cd606cabdbe2b566d6f14a6b162c89206e9a1b. This affects the function eval of the file ultralytics/nn/autobackend.py of the component AutoBackend Model Loading. The manipulation of the argument imgsz/names/kpt_shape results in improper neutralization of directives in dynamically evaluated code. The attack requires a local approach. The exploit has been released to the public and may be used for attacks. This product does not use versioning. This is why information about affected and unaffected releases are unavailable. The project was informed of the problem early through an issue report but has not responded yet.

Referencias

• vuldb.com/vuln/421573VDB-ENTRY · TECHNICAL-DESCRIPTION
• vuldb.com/vuln/421573/ctiSIGNATURE · PERMISSIONS-REQUIRED
• vuldb.com/cve/CVE-2026-111865THIRD-PARTY-ADVISORY
• vuldb.com/submit/1004883THIRD-PARTY-ADVISORY
• github.com/THU-MIG/yoloe/issues/148EXPLOIT · ISSUE-TRACKING
• github.com/THU-MIG/yoloe/PRODUCT

Historial de la alerta

1. 17 OCT · 19:38VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.