CVE-2026-2734 in MLflow
摘要
由 VulDB • 2026-05-23
在 mlflow/mlflow 3.9.0 及更早版本中，当启用基本身份验证时，`SearchModelVersions` REST API 端点和 `mlflowSearchModelVersions` GraphQL 查询缺乏针对每个模型的适当授权检查。这允许任何经过身份验证的用户枚举所有已注册模型的全部模型版本，无论其权限级别如何。该问题源于 `SearchModelVersions` 未包含在 REST API 的 `BEFORE_REQUEST_VALIDATORS` 和 `AFTER_REQUEST_HANDLERS` 中，且在 GraphQL 中未列入 `GraphQLAuthorizationMiddleware.PROTECTED_FIELDS`。此漏洞可能暴露敏感信息，如模型名称、版本描述、源 URI、标签及其他元数据，从而在多租户环境中可能泄露专有或机密细节。该问题已在 3.10.0 版本中修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.