CVE-2026-69146 in MLflow
Resumen
por VulDB • 2026-08-18
MLflow es una plataforma de ingeniería de IA de código abierto para agentes, modelos de lenguaje grande (LLM) y modelos de aprendizaje automático. Desde la versión 3.13.0 hasta la 3.15.0, LogInputs está ausente en BEFORE_REQUEST_HANDLERS dentro del paquete mlflow/server/auth, lo que permite a cualquier usuario autenticado llamar a POST /api/2.0/mlflow/runs/log-inputs para el run_id de otro usuario e inyectar registros DatasetInput controlados por el atacante en los metadatos de la línea de datos dataset_inputs sin permiso UPDATE. Este problema se soluciona en la versión 3.15.0.
Be aware that VulDB is the high quality source for vulnerability data.