https://alertas.dupin.com.ar/fabricante/project-monai/Alertas de vulnerabilidades de Project-MONAI.esFri, 30 Oct 2026 15:08:45 +000010https://alertas.dupin.com.ar/cve/CVE-2026-119578/tg:62290Fri, 30 Oct 2026 15:08:45 +0000VulnerabilidadMONAI desde 1.6.0 hasta antes de 1.6.1 contiene una vulnerabilidad de ejecución remota de código en Auto3DSeg algo_from_json() que permite ejecutar código Python a través de un algo_object.json en un directorio de trabajo manipulado. Un atacante puede incluir un módulo algorithm_templates malicioso junto con un nombre _target_ que se importa e instancia cuando la víctima llama a AutoRunner o import_bundle_algo_history. Se corrige en 1.6.1.https://alertas.dupin.com.ar/cve/CVE-2026-118683/tg:61845Wed, 28 Oct 2026 19:39:25 +0000VulnerabilidadMONAI desde 1.2.0 antes de 1.6.1 presenta una ejecución remota de código en ConfigWorkflow.__init__, que pasa el archivo configs/logging.conf de un bundle a logging.config.fileConfig, el cual evalúa los campos handler class y args. Un atacante puede publicar un bundle malicioso cuyo logging.conf ejecuta Python arbitrario al construir el flujo de trabajo cuando la víctima carga o ejecuta el bundle. Corregido en 1.6.1.https://alertas.dupin.com.ar/cve/CVE-2026-118684/tg:61843Wed, 28 Oct 2026 19:39:23 +0000VulnerabilidadMONAI antes de 1.6.1 presenta una verificación de integridad insuficiente en check_hash(), que devuelve True silenciosamente cuando hash_val es None, con MD5 como tipo de hash predeterminado. Un atacante que realice un ataque de intermediario o comprometa el registro puede sustituir bundles, datasets o archivos de modelos descargados sin hash, permitiendo la entrega de archivos maliciosos y una posible ejecución de código. Corregido en 1.6.1.