Podle ZDI umožňuje zranitelnost CVE-2026-118613 vzdáleným útočníkům spustit libovolný kód na dotčených instalacích Ultralytics skrze deserializaci nedůvěryhodných dat v 'torch_load'. K jejímu zneužití je vyžadována interakce uživatele, který musí otevřít škodlivý soubor nebo navštívit škodlivou stránku; závažnost CVSS byla stanovena na 7.8.
Podle Zero Day Initiative umožňuje zero-day zranitelnost v Ultralytics vzdáleným útočníkům spustit libovolný kód. Ke zneužití chyby s hodnocením CVSS 7.8 a označením CVE-2026-118614 je vyžadována interakce uživatele, konkrétně otevření škodlivého souboru nebo návštěva podvodné stránky.
V nástroji Ultralytics byla odhalena zranitelnost typu command injection, sledovaná pod označením CVE-2026-118615 a se skóre CVSS 7,8. Podle iniciativy ZDI umožňuje vzdálenému útočníkovi spustit libovolný kód, vyžaduje však interakci uživatele v podobě otevření škodlivého souboru nebo návštěvy podvodné stránky.
V nástroji Ultralytics byla v rámci zranitelnosti CVE-2026-118616 s hodnocením CVSS 7.8 odhalena chyba v 'parse_model', která umožňuje injektáž a vzdálené spuštění kódu. Útok vyžaduje interakci uživatele, konkrétně otevření škodlivého souboru nebo návštěvu zákeřné stránky.
V instalacích nástroje Ultralytics byla odhalena zranitelnost typu 'deserializace nedůvěryhodných dat' v funkci 'load_dataset_cache_file'. Podle ZDI umožňuje vzdáleným útočníkům spustit libovolný kód, vyžaduje však interakci uživatele, který musí otevřít škodlivý soubor nebo navštívit podvrženou stránku.
V nástroji Ultralytics byla v souvislosti s funkcí 'parse_model' odhalena zranitelnost umožňující vzdálené spuštění libovolného kódu. Ke zneužití chyby s označením CVE-2026-118618 a hodnocením CVSS 7.8 je vyžadována interakce uživatele, konkrétně otevření škodlivého souboru nebo návštěva podvodné stránky.
V nástroji Ultralytics byla odhalena zero-day zranitelnost typu path traversal při stahování z Google Drive, identifikovaná jako CVE-2026-118619 se skóre CVSS 8.8. Chyba umožňuje vzdáleným útočníkům spustit libovolný kód, vyžaduje však interakci uživatele v podobě návštěvy škodlivé stránky nebo otevření podvrženého souboru.