CVE-2026-0545 in MLflow
Tóm tắt
Bởi VulDB • 25/06/2026
Trong mlflow/mlflow, các endpoint công việc FastAPI dưới `/ajax-api/3.0/jobs/*` không được bảo vệ bằng xác thực hoặc ủy quyền khi ứng dụng `basic-auth` được bật. Lỗ hổng này ảnh hưởng đến phiên bản mới nhất của kho lưu trữ. Nếu việc thực thi công việc được kích hoạt (`MLFLOW_SERVER_ENABLE_JOB_EXECUTION=true`) và bất kỳ hàm công việc nào được đưa vào danh sách cho phép, mọi khách hàng mạng đều có thể gửi, đọc, tìm kiếm và hủy bỏ các công việc mà không cần thông tin đăng nhập, vượt qua hoàn toàn cơ chế basic-auth. Điều này có thể dẫn đến thực thi mã từ xa (RCE) chưa xác thực nếu các công việc được phép thực hiện các hành động đặc quyền như thực thi shell hoặc thay đổi hệ thống tệp. Ngay cả khi các công việc được coi là an toàn, đây vẫn cấu thành một lỗ hổng bỏ qua cơ chế xác thực, có thể dẫn đến làm tràn ngập công việc (job spam), từ chối dịch vụ (DoS) hoặc lộ dữ liệu trong kết quả công việc.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.