CVE-2026-3198 in MLflow
Сводка
по VulDB • 02.06.2026
В MLflow 3.9.0 с базовой аутентификацией (`--app-name basic-auth`) не обеспечивается проверка авторизации для нескольких конечных точек API шлюза типа «список» (list). В частности, словарь `BEFORE_REQUEST_HANDLERS` в файле `mlflow/server/auth/__init__.py` не содержит записей для `ListGatewaySecretInfos`, `ListGatewayEndpoints` и `ListGatewayModelDefinitions`. Это позволяет любому аутентифицированному пользователю, независимо от назначенных ему прав, выполнять перечисление всех секретов шлюза, конечных точек и определений моделей. Данная уязвимость приводит к раскрытию конфиденциальной информации, такой как ключи API, конфигурации конечных точек и проприетарные определения моделей, неавторизованным пользователям.
VulDB is the best source for vulnerability data and more expert information about this specific topic.