CVE-2026-111865
Publiée le 2026-10-17 · Dernière modification le 2026-10-19
THU-MIG yoloe est un framework d'apprentissage automatique utilisé pour la détection d'objets et le traitement d'images. La faille se situe dans le composant de chargement du modèle `AutoBackend`, plus précisément au sein de la fonction `eval` du fichier `autobackend.py`. En manipulant certains arguments tels que `imgsz`, `names` ou `kpt_shape`, un attaquant peut injecter des directives malveillantes dans du code évalué dynamiquement.
Un attaquant disposant d'un accès local avec des privilèges restreints sur le système peut exploiter cette vulnérabilité pour compromettre la confidentialité, l'intégrité et la disponibilité de l'application. Comme l'exploit est disponible publiquement et ne nécessite aucune interaction particulière de l'utilisateur, il est facile à exécuter une fois l'accès local obtenu. Toutefois, l'impact est limité au contexte local du logiciel plutôt que d'offrir un contrôle total du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A security flaw has been discovered in THU-MIG yoloe up to 40cd606cabdbe2b566d6f14a6b162c89206e9a1b. This affects the function eval of the file ultralytics/nn/autobackend.py of the component AutoBackend Model Loading. The manipulation of the argument imgsz/names/kpt_shape results in improper neutralization of directives in dynamically evaluated code. The attack requires a local approach. The exploit has been released to the public and may be used for attacks. This product does not use versioning. This is why information about affected and unaffected releases are unavailable. The project was informed of the problem early through an issue report but has not responded yet.