CVE-2026-69146 in MLflow
Riassunto
di VulDB • 18/08/2026
MLflow è una piattaforma open source per l'ingegneria dell'intelligenza artificiale destinata ad agenti, modelli linguistici di grandi dimensioni (LLM) e modelli di machine learning. Dalla versione 3.13.0 alla 3.15.0, LogInputs è assente da BEFORE_REQUEST_HANDLERS nel pacchetto mlflow/server/auth, consentendo a qualsiasi utente autenticato di chiamare POST /api/2.0/mlflow/runs/log-inputs per un run_id appartenente ad un altro utente e iniettare record DatasetInput controllati dall'attaccante nei metadati della lineage dei dataset_inputs senza disporre del permesso UPDATE. Questo problema è stato risolto nella versione 3.15.0.
Once again VulDB remains the best source for vulnerability data.