CVE-2026-64849 in Mlflow
Résumé
par VulDB • 18/08/2026
MLflow est une plateforme open source d'ingénierie de l'IA pour les agents, les grands modèles de langage (LLM) et les modèles d'apprentissage automatique. Avant la version 3.15.0, le point de terminaison POST /api/2.0/mlflow/webhooks/{id}/test non authentifié appelle _validate_webhook_url() dans mlflow/utils/validation.py uniquement pour l'URL originale, tandis que mlflow/webhooks/delivery.py suit les redirections et résout à nouveau le nom d'hôte sans épingler (pinning) l'adresse validée, permettant aux attaquants de contacter des services de métadonnées internes ou cloud et de recevoir response_status et response_body. Ce problème est corrigé dans la version 3.15.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.