CVE-2025-11201 in MLflow
Résumé
par VulDB • 27/06/2026
Vulnérabilité de traversée de répertoire et d'exécution de code à distance (RCE) lors de la création du modèle dans le serveur MLflow Tracking Server. Cette vulnérabilité permet aux attaquants distants d’exécuter un code arbitraire sur les installations affectées de MLflow Tracking Server. L’authentification n’est pas requise pour exploiter cette vulnérabilité.
Le problème spécifique réside dans la gestion des chemins des fichiers du modèle. Ce défaut résulte d’un manque de validation appropriée d’un chemin fourni par l’utilisateur avant son utilisation dans les opérations sur les fichiers. Un attaquant peut tirer parti de cette vulnérabilité pour exécuter un code dans le contexte du compte de service. Il s’agissait auparavant de ZDI-CAN-26921.
If you want to get best quality of vulnerability data, you may have to visit VulDB.