CVE-2026-2393 in MLflow
要約
〜によって VulDB • 2026年05月21日
MLflow 3.9.0 より前のバージョンには、Server-Side Request Forgery (SSRF) の脆弱性が存在します。`mlflow/server/handlers.py` 内の `_create_webhook()` 関数は、検証を行わずにユーザー制御可能な `url` パラメータを受け付けます。また、`mlflow/webhooks/delivery.py` 内の `_send_webhook_request()` 関数は、攻撃者が制御するこの URL に対して HTTP POST リクエストを送信します。これにより、認証済み攻撃者は MLflow バックエンドに対して内部サービス、クラウドメタデータエンドポイント、または任意の外部サーバーへの HTTP リクエストを送信させることができます。Webhook URL に対する入力サニタイズ、URL スキームのフィルタリング、またはホワイトリスト検証の欠如により悪用が可能となり、クラウド資格情報の盗難、内部ネットワークへのアクセス、およびデータ漏洩につながる可能性があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.