vs gauge
区分
JVN番号
タイトル
JVN
深刻度
最終更新日
CVE番号
New
JVNDB-2026-016616

German Cancer Research Center (DKFZ)のnnU-Netにおけるインジェクションに関する脆弱性

7.2
2026/05/21 10:55
CVE-2026-44246
JVNDB-2026-016616
German Cancer Research Center (DKFZ)のnnU-Netにおけるインジェクションに関する脆弱性
概要
nnU-Netはデータセットに自動的に適応するセマンティックセグメンテーションフレームワークです。バージョン2.4.1以前では、.github/workflows/issue-triage.yml内のnnU-Net Issue Triageワークフローにエージェント型ワークフローインジェクションの脆弱性が存在していました。このワークフローはallowed_non_write_users: ${{github.event.issue.user.login}}を設定しており、つまり、ログインしている任意のGitHubユーザーが問題を開くと、攻撃者が制御する内容を持つこのエージェント型ワークフローにアクセスできる状態になっていました。信頼できない問題のタイトルおよび本文の内容がanthropics/claude-code-actionのプロンプトに直接埋め込まれ、その後ワークフローはgh経由で現在の問題にコメントしたりラベルを再設定できるコマンド実行可能なClaudeエージェントを実行します。このワークフローはissues.openedイベントで自動的にトリガーされるため、外部攻撃者は本来のissue-triage目的を超えてエージェントを誘導し、認証済みの問題に対する操作に影響を及ぼす細工されたIssueを提出することができました。この脆弱性はバージョン2.4.1で修正されています。
想定される影響と対策
当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
JVN情報　※( )内はCVSS v2の値
深刻度 7.2
CVECVE-2026-44246
公表日2026/05/12 00:00
登録日2026/05/21 10:55
更新日2026/05/21 10:55
CVSS v3情報
…
全ての情報を閲覧するにはユーザー登録（無料）またはログインが必要です。
新規登録
ログイン