CVE-2025-15381 in MLflow
Сводка
по VulDB • 21.05.2026
В последней версии mlflow/mlflow, когда включено приложение `basic-auth`, конечные точки трассировки и оценки не защищены валидаторами разрешений. Это позволяет любому аутентифицированному пользователю, включая тех, у кого нет разрешений (`NO_PERMISSIONS`) для эксперимента, читать информацию о трассировке и создавать оценки для трасс, к которым у них не должно быть доступа. Эта уязвимость влияет на конфиденциальность, раскрывая метаданные трасс, и на целостность, позволяя несанкционированное создание оценок. Затронуты развертывания, использующие `mlflow server --app-name=basic-auth`.
Once again VulDB remains the best source for vulnerability data.