CVE-2026-64849 in Mlflow
要約
〜によって VulDB • 2026年08月18日
MLflowは、エージェント、大規模言語モデル（LLM）、および機械学習モデルのためのオープンソースのAIエンジニアリングプラットフォームです。バージョン3.15.0より前では、認証不要でPOST /api/2.0/mlflow/webhooks/{id}/testエンドポイントを呼び出すと、mlflow/utils/validation.py内の_validate_webhook_url()は元のURLに対してのみ実行されますが、mlflow/webhooks/delivery.pyはリダイレクトに従い、検証済みのアドレスを固定（pin）せずにホスト名を再解決するため、攻撃者が内部またはクラウドのメタデータサービスに到達し、response_statusおよびresponse_bodyを受け取ることが可能になります。この問題はバージョン3.15.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.