CVE-2026-0545
Təsvir
mlflow/mlflow layihəsində, `basic-auth` tətbiqi aktiv olduqda `/ajax-api/3.0/jobs/*` altındakı FastAPI iş nöqtələri autentifikasiya və ya avtorizasiya ilə qorunmur. Bu zəiflik repozitoriyanın son versiyasına təsir edir. Əgər işlərin icrası aktivdirsə (`MLFLOW_SERVER_ENABLE_JOB_EXECUTION=true`) və hər hansı bir iş funksiyası ağ siyahıya əlavə edilibsə, istənilən şəbəkə kliyenti etibarnamələr olmadan işləri göndərə, oxuya, axtara və ləğv edə bilər ki, bu da basic-auth mexanizminin tamamilə yan keçilməsinə səbəb olur. Əgər icazə verilmiş işlər shell icrası və ya fayl sistemi dəyişiklikləri kimi imtiyazlı hərəkətləri yerinə yetirirsə, bu, autentifikasiyasız uzaqdan kodun icrasına gətirib çıxara bilər. İşlər təhlükəsiz hesab edilsə belə, bu yenə də autentifikasiyadan yan keçməni təşkil edir və potensial olaraq işlərlə spam, xidmətdən imtina (DoS) və ya iş nəticələrində məlumat sızmasına səbəb ola bilər.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lfprojects mlflow | Aralıq göstərilməyib | — |
| mlflowPyPI | v ≤ 3.10.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.