CVE-2026-111212
Publiée le 2026-10-16 · Dernière modification le 2026-10-16
Les versions 0.1.0-alpha et 0.1.0 d'ImprintLab Medical-SAM-Adapter sont des outils utilisés pour la segmentation d'images médicales. Une faille existe dans le composant AutoBackend Model Loading, plus précisément au sein de la fonction de mappage des métadonnées. En fournissant des entrées malveillantes aux arguments `imgsz`, `names` ou `kpt_shape`, un attaquant peut injecter des commandes qui sont ensuite exécutées par le système.
Un attaquant peut ainsi obtenir un accès non autorisé limité aux données ou aux paramètres du système, bien que l'impact global sur la confidentialité et l'intégrité soit faible. Cette attaque nécessite un accès local à la machine et un certain niveau d'interaction de l'utilisateur pour déclencher la faille. Bien qu'un exploit public existe, l'exigence de privilèges locaux et d'une interaction manuelle en fait une menace à faible risque pour la plupart des utilisateurs.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A security flaw has been discovered in ImprintLab Medical-SAM-Adapter 0.1.0-alpha/0.1.0. Affected by this issue is the function session.get_modelmeta.custom_metadata_map of the file models/MobileSAMv2/ultralytics/nn/autobackend.py of the component AutoBackend Model Loading. The manipulation of the argument imgsz/names/kpt_shape results in improper neutralization of directives in dynamically evaluated code. The attack requires a local approach. The exploit has been released to the public and may be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.