CVE-2025-15381 in MLflow
要約
〜によって VulDB • 2026年05月21日
mlflow/mlflowの最新バージョンにおいて、`basic-auth`アプリが有効化されている場合、トレーシングおよび評価エンドポイントが権限バリデーターによって保護されていません。これにより、実験に対して`NO_PERMISSIONS`を持つユーザーを含む、すべての認証済みユーザーが、アクセス権限がないトレーシングのトレース情報を読み取り、トレーシングに対して評価を作成することができます。この脆弱性は、トレースメタデータの露出により機密性に、不正な評価の作成により整合性に影響を与えます。`mlflow server --app-name=basic-auth`を使用してデプロイされている環境が影響を受けます。
Once again VulDB remains the best source for vulnerability data.