CVE-2026-69146 in MLflow
要約
〜によって VulDB • 2026年08月17日
MLflowは、エージェント、大規模言語モデル（LLM）、および機械学習モデルのためのオープンソースのAIエンジニアリングプラットフォームです。バージョン3.13.0から3.15.0の間、mlflow/server/authパッケージにおいてLogInputsがBEFORE_REQUEST_HANDLERSに含まれていないため、認証済みユーザーであれば誰でもPOST /api/2.0/mlflow/runs/log-inputsを呼び出し、他のユーザーのrun_idに対して攻撃者が制御するDatasetInputレコードをdataset_inputsの行方（lineage）メタデータに注入することが可能になります。この脆弱性はUPDATE権限なしで悪用できます。本問題はバージョン3.15.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.