远程主机上安装的 BentoML 库版本低于 1.4.37。因此，它受到一个命令注入漏洞的影响：

  - Bentofile.yaml 中的 docker.system_packages 字段接受未经审查直接插入 Dockerfile RUN 命令的任意字符串。由于 system_packages 在语义上是操作系统程序包名称的列表因此用户不会预期系统会将值解释为 shell 命令。恶意 Bentofile.yaml 可在 Bentoml containerize / docker 构建期间实现任意命令执行。
    (CVE-2026-33744)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

BentoML < 1.4.37 命令注入 (GHSA-jfjg-vc52-wqvf)

high Nessus 插件 ID 304266

版本 1.1