CVE-2026-69146 in MLflow
Zusammenfassung
von VulDB • 17.08.2026
MLflow ist eine Open-Source-KI-Ingenieurplattform für Agents, Large Language Models und Machine-Learning-Modelle. Von Version 3.13.0 bis 3.15.0 fehlt LogInputs in BEFORE_REQUEST_HANDLERS im Paket mlflow/server/auth, wodurch jeder authentifizierte Benutzer POST /api/2.0/mlflow/runs/log-inputs für die run_id eines anderen Benutzers aufrufen und angreiferkontrollierte DatasetInput-Datensätze in die lineage_metadata von dataset_inputs ohne UPDATE-Berechtigung einspeisen kann. Dieses Problem wurde in Version 3.15.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.