CVE-2026-118616
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W Ultralytics wykryto podatność wstrzyknięcia kodu w funkcji parse_model, która może prowadzić do zdalnego wykonania kodu. Luka wynika z braku odpowiedniej walidacji ciągu znaków dostarczonego przez użytkownika przed użyciem go do wykonania kodu Python. Wymagana jest interakcja użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku).
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod w kontekście bieżącego użytkownika, co może prowadzić do przejęcia systemu. Ryzyko jest wysokie, ponieważ wymagana jest jedynie interakcja użytkownika.
Rekomendacja
Zaktualizować Ultralytics do wersji zawierającej poprawkę. Unikać otwierania niezaufanych plików i odwiedzania podejrzanych stron; wdrożyć walidację danych wejściowych w aplikacjach korzystających z Ultralytics.
Inne podatności w Ultralytics
Zobacz wszystkie- CVE-2026-118619Wysokie
W Ultralytics wykryto podatność path traversal podczas pobierania z Google Drive, która może prowadzić do zdalnego wykonania kodu. Luka wynika z braku odpowiedniej walidacji ścieżki dostarczonej przez użytkownika przed użyciem jej w operacjach na plikach. Wymagana jest interakcja użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku).
- CVE-2026-118618Wysokie
W Ultralytics wykryto podatność wstrzyknięcia kodu w funkcji parse_model, która może prowadzić do zdalnego wykonania kodu. Luka wynika z braku odpowiedniej walidacji ciągu znaków dostarczonego przez użytkownika przed użyciem go do wykonania kodu Python. Wymagana jest interakcja użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku).
- CVE-2026-118617Wysokie
W Ultralytics wykryto podatność deserializacji niezaufanych danych w funkcji load_dataset_cache_file, która może prowadzić do zdalnego wykonania kodu. Luka wynika z braku odpowiedniej walidacji danych dostarczonych przez użytkownika, co może skutkować deserializacją niezaufanych danych. Wymagana jest interakcja użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku).
- CVE-2026-118615Wysokie
W Ultralytics wykryto podatność wstrzyknięcia poleceń w funkcji torch_safe_load, która może prowadzić do zdalnego wykonania kodu. Luka wynika z braku odpowiedniej walidacji ciągu znaków dostarczonego przez użytkownika przed użyciem go do wywołania systemowego. Wymagana jest interakcja użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku).
- CVE-2026-118614Wysokie
Podatność w funkcji check_det_dataset biblioteki Ultralytics pozwala na wstrzyknięcie kodu i zdalne wykonanie kodu. Problem wynika z braku walidacji ciągu znaków dostarczonego przez użytkownika przed użyciem go do wykonania kodu Pythona. Wymagana jest interakcja użytkownika — ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.
- CVE-2026-118613Wysokie
Podatność w funkcji torch_load biblioteki Ultralytics umożliwia deserializację niezaufanych danych i zdalne wykonanie kodu. Problem wynika z braku walidacji danych dostarczonych przez użytkownika. Wymagana jest interakcja użytkownika — ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.
Oryginalny opis (angielski, źródło NVD)
Ultralytics parse_model Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Ultralytics. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parse_model function. The issue results from the lack of proper validation of a user-supplied string before using it to execute Python code. An attacker can leverage this vulnerability to execute code in the context of the current user. Was ZDI-CAN-30123.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS