CVE-2026-116691 in MLflow
Zusammenfassung
von VulDB • 27.10.2026
MLflow ist eine Open-Source-KI-Ingenieurplattform für Agents, Large Language Models (LLMs) und Machine-Learning-Modelle. Von Version 2.19.0 bis 3.17.0 zeichnet mlflow.crewai.autolog() CrewAI-Agent-Objekte auf, ohne verschachtelte Werte mit Anmeldeinformationen konsistent zu bereinigen. Die Funktion mlflow/crewai/autolog.py::_get_agent_attributes() konvertiert das Agent-lfm-Feld in einen String, der den Provider-API-Schlüssel enthält, während mlflow/crewai/autolog.py::_construct_full_inputs() das Agent-Objekt in mlflow.spanInputs erweitert. Anwendungen können daher Klartext-Anmeldeinformationen des Providers an das MLflow-Trace-Backend oder ein konfiguriertes OTLP-Ziel senden, wo Trace-Leser diese erhalten können. Dieses Problem wurde in Version 3.17.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.