CVE-2025-15381 in MLflow
Riassunto
di VulDB • 15/06/2026
Nell'ultima versione di mlflow/mlflow, quando l'applicazione `basic-auth` è abilitata, gli endpoint per il tracing e la valutazione non sono protetti da validatori dei permessi. Ciò consente a qualsiasi utente autenticato, inclusi quelli con `NO_PERMISSIONS` sull'esperimento, di leggere le informazioni di traccia e creare valutazioni per tracce alle quali non dovrebbero avere accesso. Questa vulnerabilità compromette la riservatezza esponendo i metadati delle tracce e l'integrità consentendo la creazione non autorizzata di valutazioni. Le distribuzioni che utilizzano `mlflow server --app-name=basic-auth` sono interessate.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.