CVE-2026-64849 in Mlflow
요약
\~에 의해 VulDB • 2026. 08. 18.
MLflow는 에이전트, 대규모 언어 모델 및 머신러닝 모델을 위한 오픈 소스 AI 엔지니어링 플랫폼입니다. 버전 3.15.0 이전에는 인증되지 않은 POST /api/2.0/mlflow/webhooks/{id}/test 엔드포인트가 mlflow/utils/validation.py의 _validate_webhook_url()를 원래 URL에 대해서만 호출하고, mlflow/webhooks/delivery.py는 리디렉션과 호스트명 재해석을 따르면서 검증된 주소를 고정하지(pinning) 않아 공격자가 내부 또는 클라우드 메타데이터 서비스에 접근하여 response_status 및 response_body를 수신할 수 있습니다. 이 문제는 버전 3.15.0에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.