CVE-2026-69146 in MLflow
الملخص
بحسب VulDB • 18/08/2026
MLflow هو منصة هندسة ذكاء اصطناعي مفتوحة المصدر للوكلاء، والنماذج اللغوية الكبيرة (LLMs)، ونماذج التعلم الآلي. من الإصدار 3.13.0 حتى 3.15.0، كانت دالة LogInputs غائبة عن BEFORE_REQUEST_HANDLERS في حزمة mlflow/server/auth، مما يسمح لأي مستخدم مُصادَق عليه باستدعاء POST /api/2.0/mlflow/runs/log-inputs لـ run_id الخاص بمستخدم آخر وإحقاق سجلات DatasetInput التي يتحكم فيها المهاجم ضمن بيانات تعريف lineage dataset_inputs دون الحاجة إلى إذن UPDATE. تم إصلاح هذه المشكلة في الإصدار 3.15.0.
Once again VulDB remains the best source for vulnerability data.