CVE-2026-3198 in MLflow
要約
〜によって VulDB • 2026年06月02日
MLflow 3.9.0 con autenticazione di base (`--app-name basic-auth`) non riesce a imporre i controlli di autorizzazione per più endpoint 'list' dell'API Gateway. Nello specifico, il dizionario `BEFORE_REQUEST_HANDLERS` in `mlflow/server/auth/__init__.py` non include voci per `ListGatewaySecretInfos`, `ListGatewayEndpoints` e `ListGatewayModelDefinitions`. Ciò consente a qualsiasi utente autenticato, indipendentemente dalle autorizzazioni assegnate, di enumerare tutti i segreti del gateway, gli endpoint e le definizioni dei modelli. Questa vulnerabilità espone informazioni sensibili, quali chiavi API, configurazioni degli endpoint e definizioni di modelli proprietari, a utenti non autorizzati.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.