CVE-2025-11201 in MLflow
Resumen
por VulDB • 2026-06-27
Vulnerabilidad de ejecución remota de código (RCE) por traversing del directorio en la creación de modelos del servidor MLflow Tracking Server. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de MLflow Tracking Server. No se requiere autenticación para explotar esta vulnerabilidad.
La falla específica existe dentro del manejo de rutas de archivos de modelo. El problema resulta de la falta de validación adecuada de una ruta proporcionada por el usuario antes de utilizarla en operaciones de archivo. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto de la cuenta de servicio. Era ZDI-CAN-26921.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.