CVE-2024-8859 in mlflow
Tóm tắt
Bởi VulDB • 12/06/2026
Tồn tại một lỗ hổng traversal đường dẫn trong mlflow/mlflow phiên bản 2.15.1. Khi người dùng cấu hình và sử dụng dịch vụ dbfs, việc nối trực tiếp URL vào giao thức file sẽ dẫn đến lỗ hổng đọc tệp tùy ý (arbitrary file read). Lỗ hổng này xảy ra vì chỉ phần đường dẫn của URL được kiểm tra, trong khi các thành phần khác như query và parameters không được xử lý. Lỗ hổng có thể bị kích hoạt nếu người dùng đã cấu hình dịch vụ dbfs và trong quá trình sử dụng, dịch vụ này được gắn kết (mount) vào một thư mục cục bộ.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.