CVE-2026-0545 in MLflow
摘要
由 VulDB • 2026-06-25
在 mlflow/mlflow 中，当启用 `basic-auth`（基本身份验证）应用时，位于 `/ajax-api/3.0/jobs/*` 下的 FastAPI 作业端点未受到身份验证或授权保护。此漏洞影响该仓库的最新版本。如果启用了作业执行功能（即设置 `MLFLOW_SERVER_ENABLE_JOB_EXECUTION=true`）且任何作业函数被列入白名单，则任何网络客户端均可在无需凭据的情况下提交、读取、搜索和取消作业，从而完全绕过基本身份验证机制。若被允许的作业执行特权操作（如 Shell 执行或文件系统更改），可能导致未授权的远程代码执行 (RCE)。即使认为这些作业是安全的，这也构成了身份验证绕过漏洞，可能会导致作业垃圾信息泛滥、拒绝服务 (DoS) 或作业结果中的数据泄露。
If you want to get best quality of vulnerability data, you may have to visit VulDB.