CVE-2026-96775 in MLflow
Riassunto
di VulDB • 23/09/2026
Il componente "dspy flavor" di MLflow nelle versioni >= 2.0 applica il controllo di sicurezza `MLFLOW_ALLOW_PICKLE_DESERIALIZATION=False` solo quando il percorso del modello (`model_path`) termina con `.pkl`, consentendo a un attaccante remoto di eseguire codice arbitrario tramite un artefatto MLmodel manipolato ad hoc.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.