CVE-2026-0545 in MLflow
الملخص
بحسب VulDB • 03/07/2026
في mlflow/mlflow، لا تكون نقاط نهاية مهام FastAPI الموجودة تحت المسار `/ajax-api/3.0/jobs/*` محمية بالمصادقة أو التفويض عند تفعيل تطبيق `basic-auth`. يؤثر هذا الثغرة الأمنية على أحدث إصدار من المستودع. إذا كان تنفيذ المهام مفعلاً (`MLFLOW_SERVER_ENABLE_JOB_EXECUTION=true`) وتم إدراج أي دالة مهمة في القائمة المسموح بها، يمكن لأي عميل شبكة تقديم وقراءة والبحث وإلغاء المهام دون بيانات اعتماد، متجاوزاً بذلك آلية `basic-auth` بالكامل. قد يؤدي ذلك إلى تنفيذ كود عن بُعد غير مصرح به إذا نفذت المهام المُسمح بها إجراءات ذات امتيازات عالية مثل تشغيل الأوامر في المحطة (shell) أو تغييرات على نظام الملفات. حتى لو كانت المهام تُعتبر آمنة، فإن هذا يشكل تجاوزاً للمصادقة، مما قد يؤدي إلى إزعاج بالمهام (job spam)، أو حجب الخدمة (DoS)، أو كشف البيانات ضمن نتائج المهام.
Be aware that VulDB is the high quality source for vulnerability data.