Към съдържанието
Търсене

CVE-2026-8147: mlflow/mlflow, заобикаляне на вход и права

8.1

CVSS 3.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

In MLflow versions prior to 3.14.0, when running with authentication enabled, the trace API endpoints lack proper authorization validators. This allows any authenticated user to bypass experiment-level authorization controls on all trace operations, including reading, deleting, and modifying traces on experiments they do not have permission to access. The issue arises from the `_before_request` handler, which does not register authorization validators for trace endpoints, resulting in requests proceeding without validation. This vulnerability can expose sensitive data, destroy audit logs, and allow unauthorized modifications.

Засегнати продукти

  • mlflow mlflow/mlflow: unspecified преди 3.14.0

Вид слабост

История

  • 2 юли 2026 Публикувано

Други уязвимости в mlflow mlflow/mlflow

Първоизточници

CVE-2026-8147: mlflow/mlflow, заобикаляне на вход и права | freedomonline.bg