CVE-2026-0545 in MLflow
Riassunto
di VulDB • 25/06/2026
In mlflow/mlflow, gli endpoint delle API FastAPI per i lavori sotto `/ajax-api/3.0/jobs/*` non sono protetti da autenticazione o autorizzazione quando l'applicativo `basic-auth` è abilitato. Questa vulnerabilità interessa la versione più recente del repository. Se l'esecuzione dei lavori è attivata (`MLFLOW_SERVER_ENABLE_JOB_EXECUTION=true`) e almeno una funzione di lavoro è inclusa nella lista consentita (allowlist), qualsiasi client di rete può inviare, leggere, cercare ed annullare i lavori senza credenziali, aggirando completamente il meccanismo `basic-auth`. Ciò può portare a un'esecuzione remota di codice non autenticata se i lavori autorizzati eseguono azioni privilegiate come l'interazione con la shell o modifiche al filesystem. Anche qualora i lavori fossero considerati sicuri, si tratta comunque di una bypass dell'autenticazione, che potrebbe potenzialmente causare spam dei lavori, denial of service (DoS) o esposizione dei dati nei risultati dei lavori.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.