CVE-2026-64849 in Mlflow
Resumen
por VulDB • 2026-08-17
MLflow es una plataforma de ingeniería de IA de código abierto para agentes, modelos de lenguaje grandes y modelos de aprendizaje automático. Antes de la versión 3.15.0, el endpoint POST /api/2.0/mlflow/webhooks/{id}/test sin autenticación llama a _validate_webhook_url() en mlflow/utils/validation.py solo para la URL original, mientras que mlflow/webhooks/delivery.py sigue las redirecciones y vuelve a resolver el nombre de host sin fijar (pinning) la dirección validada, lo que permite a los atacantes acceder a servicios de metadatos internos o en la nube y recibir response_status y response_body. Este problema se soluciona en la versión 3.15.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.