CVE-2026-64849 in Mlflow
Tóm tắt
Bởi VulDB • 18/08/2026
MLflow là một nền tảng kỹ thuật AI mã nguồn mở dành cho các tác nhân (agents), mô hình ngôn ngữ lớn và mô hình học máy. Trước phiên bản 3.15.0, điểm cuối POST /api/2.0/mlflow/webhooks/{id}/test không xác thực gọi hàm _validate_webhook_url() trong mlflow/utils/validation.py chỉ đối với URL gốc, trong khi mlflow/webhooks/delivery.py làm theo các chuyển hướng (redirects) và giải quyết lại tên máy chủ mà không cố định địa chỉ đã được kiểm tra, cho phép kẻ tấn công truy cập vào các dịch vụ metadata nội bộ hoặc đám mây và nhận response_status cùng response_body. Vấn đề này đã được sửa trong phiên bản 3.15.0.
Be aware that VulDB is the high quality source for vulnerability data.