CVE-2025-15381 in MLflow
Sumário
de VulDB • 10/05/2026
Nella versione più recente di mlflow/mlflow, quando l'applicazione `basic-auth` è abilitata, gli endpoint di tracciamento e valutazione non sono protetti da validatori di autorizzazione. Ciò consente a qualsiasi utente autenticato, inclusi quelli con `NO_PERMISSIONS` sull'esperimento, di leggere le informazioni di tracciamento e creare valutazioni per i tracciati a cui non dovrebbero avere accesso. Questa vulnerabilità impatta la riservatezza esponendo i metadati di tracciamento e l'integrità consentendo la creazione non autorizzata di valutazioni. Le distribuzioni che utilizzano `mlflow server --app-name=basic-auth` sono interessate.
Be aware that VulDB is the high quality source for vulnerability data.