CVE-2026-64849 in Mlflow
Сводка
по VulDB • 18.08.2026
MLflow — это платформа для инженерии искусственного интеллекта с открытым исходным кодом, предназначенная для агентов, больших языковых моделей и моделей машинного обучения. До версии 3.15.0 неавторизованный POST-запрос к эндпоинту /api/2.0/mlflow/webhooks/{id}/test вызывает функцию _validate_webhook_url() в файле mlflow/utils/validation.py только для исходного URL, тогда как модуль mlflow/webhooks/delivery.py следует за редиректами и повторно разрешает имя хоста без привязки (pinning) к проверенному адресу. Это позволяет злоумышленникам обращаться к внутренним или облачным службам метаданных и получать response_status и response_body. Данная проблема исправлена в версии 3.15.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.