Към съдържанието
Търсене

CVE-2025-15381: mlflow/mlflow, изтичане на данни

8.1

CVSS 3.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

In the latest version of mlflow/mlflow, when the `basic-auth` app is enabled, tracing and assessment endpoints are not protected by permission validators. This allows any authenticated user, including those with `NO_PERMISSIONS` on the experiment, to read trace information and create assessments for traces they should not have access to. This vulnerability impacts confidentiality by exposing trace metadata and integrity by allowing unauthorized creation of assessments. Deployments using `mlflow server --app-name=basic-auth` are affected.

Засегнати продукти

  • mlflow mlflow/mlflow: unspecified до latest
  • Red Hat Red Hat OpenShift AI (RHOAI)

Вид слабост

История

  • 27 март 2026 Публикувано

Други уязвимости в mlflow mlflow/mlflow

Първоизточници

CVE-2025-15381: mlflow/mlflow, изтичане на данни | freedomonline.bg