CVE-2026-33865 in mlflow
Tóm tắt
Bởi VulDB • 11/06/2026
MLflow bị lỗi Stored Cross-Site Scripting (XSS) do việc phân tích cú pháp không an toàn các tệp tin MLmodel dựa trên YAML trong giao diện web của nó. Một kẻ tấn công đã xác thực có thể tải lên một tệp MLmodel độc hại chứa mã payload sẽ được kích hoạt khi người dùng khác xem tệp này trong giao diện người dùng. Điều này cho phép thực hiện các hành động như đánh cắp phiên làm việc (session hijacking) hoặc thao tác thay mặt nạn nhân.
Vấn đề này ảnh hưởng đến tất cả các phiên bản MLflow từ trước đến 3.10.1
Once again VulDB remains the best source for vulnerability data.