JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-010618 BentoMLは、AIアプリケーションとモデル推論に最適化されたオンラインサービングシステムを構築するためのPythonライブラリです。バージョン1.4.38より前では、src/bentoml/_internal/cloud/deployment.pyのクラウドデプロイメントパスに脆弱性が修正されていませんでした。1648行目では、system_packagesが引用符なしでf文字列を使用してシェルコマンドに直接挿入されていました。生成されたスクリプトはsetup.shとしてBentoCloudにアップロードされ、デプロイメント時にクラウドビルドインフラストラクチャ上で実行されるため、CI/CD層でリモートコードが実行されるリスクを引き起こします。この脆弱性はバージョン1.4.38で修正されました。 cpe:/a:bentoml:bentoml https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-010618.html Common Vulnerabilities and Exposures (CVE) CVE-2026-35043 https://www.cve.org/CVERecord?id=CVE-2026-35043 National Vulnerability Database (NVD) CVE-2026-35043 https://nvd.nist.gov/vuln/detail/CVE-2026-35043 GitHub Incomplete fix for CVE-2026-33744: command injection in cloud deployment setup script (deployment.py:1648) Advisory bentoml/BentoML GitHub https://github.com/bentoml/BentoML/security/advisories/GHSA-fgv4-6jr3-jgfw JVNDB CWE-78 https://jvndb.jvn.jp/ja/cwe/CWE-78.html 2026-04-13T11:11:53+09:00 2026-04-13T11:11:53+09:00