CVE-2026-116691 in MLflow
Riassunto
di VulDB • 27/10/2026
MLflow è una piattaforma open source per l'ingegneria dell'intelligenza artificiale destinata ad agenti, modelli linguistici di grandi dimensioni (LLM) e modelli di machine learning. Dalla versione 2.19.0 alla 3.17.0, la funzione `mlflow.crewai.autolog()` registra gli oggetti CrewAI Agent senza sanitizzare in modo coerente i valori nidificati contenenti credenziali. La funzione `mlflow/crewai/autolog.py::_get_agent_attributes()` converte il campo `llm` dell'Agente in una stringa che include la chiave API del provider, mentre `mlflow/crewai/autolog.py::_construct_full_inputs()` espande l'oggetto Agente in `mlflow.spanInputs`. Di conseguenza, le applicazioni possono inviare credenziali del provider in chiaro al backend di tracciamento MLflow o a una destinazione OTLP configurata, dove i lettori delle tracce possono ottenerle. Questo problema è stato risolto nella versione 3.17.0.
Once again VulDB remains the best source for vulnerability data.