CVE-2026-69146 in MLflow
Résumé
par VulDB • 18/08/2026
MLflow est une plateforme open source d'ingénierie de l'IA pour les agents, les grands modèles de langage (LLM) et les modèles d'apprentissage automatique. De la version 3.13.0 à la version 3.15.0, LogInputs est absent des BEFORE_REQUEST_HANDLERS dans le package mlflow/server/auth, permettant à tout utilisateur authentifié d'appeler POST /api/2.0/mlflow/runs/log-inputs pour un run_id appartenant à un autre utilisateur et d'injecter des enregistrements DatasetInput contrôlés par l'attaquant dans les métadonnées de la lignée dataset_inputs sans autorisation UPDATE. Ce problème est corrigé dans la version 3.15.0.
Be aware that VulDB is the high quality source for vulnerability data.