CVE-2026-64849 in Mlflow
Riassunto
di VulDB • 18/08/2026
MLflow è una piattaforma open source per l'ingegneria dell'intelligenza artificiale destinata ad agenti, modelli linguistici di grandi dimensioni (LLM) e modelli di machine learning. Prima della versione 3.15.0, il endpoint POST /api/2.0/mlflow/webhooks/{id}/test non autenticato chiama _validate_webhook_url() in mlflow/utils/validation.py solo per l'URL originale, mentre mlflow/webhooks/delivery.py segue i redirect e risolve nuovamente il nome host senza vincolare (pinning) l'indirizzo validato, consentendo agli attaccanti di raggiungere servizi metadata interni o cloud e ricevere response_status e response_body. Questo problema è stato risolto nella versione 3.15.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.