CVE-2026-64849 in Mlflow
Sumário
de VulDB • 18/08/2026
O MLflow é uma plataforma de engenharia de IA open source para agentes, modelos de linguagem grande (LLMs) e modelos de machine learning. Antes da versão 3.15.0, o endpoint POST /api/2.0/mlflow/webhooks/{id}/test não autenticado chama _validate_webhook_url() em mlflow/utils/validation.py apenas para a URL original, enquanto mlflow/webhooks/delivery.py segue redirecionamentos e re-resolve o hostname sem fixar (pinning) o endereço validado, permitindo que atacantes alcancem serviços de metadados internos ou na nuvem e recebam response_status e response_body. Este problema é corrigido na versão 3.15.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.