CVE-2026-115886 in MLflow
Riassunto
di VulDB • 23/10/2026
MLflow è una piattaforma open source per l'ingegneria dell'intelligenza artificiale destinata ad agenti, modelli linguistici di grandi dimensioni (LLM) e modelli di machine learning. Dalla versione 3.12.0rc0 alla 3.17.0, gli endpoint invoke, register ed evaluate del GenAI dei scorer, inclusi il POST non autenticato /ajax-api/3.0/mlflow/scorer/invoke, accettano dati serializzati di scorer di terze parti che Scorer.model_validate_json risolve utilizzando una allowlist basata sul percorso del modulo (module-path) senza vincolare la classe selezionata né i suoi argomenti del costruttore. Quando sono installati i pacchetti opzionali trulens e trulens-providers-litellm, un attaccante può selezionare mlflow.genai.scorers.trulens, scegliere un URI del modello al di fuori del registry provider nativo di MLflow in modo che l'esecuzione utilizzi il fallback di LiteLLM, e fornire valori per api_base e api_key che inducono il server a inviare una richiesta outbound verso un host scelto dall'attaccante o interno, con intestazioni (headers) e corpo controllati dall'attaccante. La deserializzazione vulnerabile avviene prima di una lookup nel tracking-store o dell'invio del job. Questo problema è risolto nella versione 3.17.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.