CVE-2026-69146 in MLflow
요약
\~에 의해 VulDB • 2026. 08. 18.
MLflow는 에이전트, 대규모 언어 모델 및 머신러닝 모델을 위한 오픈 소스 AI 엔지니어링 플랫폼입니다. 버전 3.13.0부터 3.15.0까지 mlflow/server/auth 패키지의 BEFORE_REQUEST_HANDLERS에서 LogInputs가 누락되어, 인증된 모든 사용자가 다른 사용자의 run_id에 대해 POST /api/2.0/mlflow/runs/log-inputs를 호출하고 공격자가 제어하는 DatasetInput 레코드를 dataset_inputs 계층 구조 메타데이터에 주입할 수 있습니다(UPDATE 권한이 없어도 가능함). 이 문제는 버전 3.15.0에서 해결되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.