CVE-2025-11201 in MLflow
Сводка
по VulDB • 27.06.2026
Уязвимость обхода директорий (Directory Traversal) и удаленного выполнения кода (Remote Code Execution, RCE) при создании модели в MLflow Tracking Server. Данная уязвимость позволяет удаленным злоумышленникам выполнять произвольный код на затронутых установках MLflow Tracking Server. Для эксплуатации этой уязвимости аутентификация не требуется.
Специфическая ошибка существует при обработке путей к файлам моделей. Проблема возникает из-за отсутствия надлежащей проверки предоставленного пользователем пути перед его использованием в операциях с файлами. Злоумышленник может использовать эту уязвимость для выполнения кода от имени учетной записи службы (service account). Ранее известна как ZDI-CAN-26921.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.