CVE-2026-2652

mlflow/mlflow versiya 3.9.0 və daha əvvəlki versiyalarda olan zəiflik, server autentifikasiya aktiv edilmiş halda (`--app-name basic-auth`) başladığı və uvicorn (ASGI) vasitəsilə təqdim etdiyi zaman müəyyən FastAPI marşrutlarına autentifikasiyasız girişə imkan verir. FastAPI icazə middleware-i autentifikasiyanı yalnız `/gateway/` marşrutlarında tətbiq edir, Job API (`/ajax-api/3.0/jobs/*`) və OpenTelemetry izləmə məlumatlarının qəbulu API-si (`/v1/traces`) kimi digər marşrutları qorumasız saxlayır. Bu, autentifikasiya olunmamış uzaq hücumçulara tapşırıqlar göndərməyə, tapşırıq nəticələrini oxumağa, icra olunan tapşırıqları ləğv etməyə və eksperimentlərə ixtiyari izləmə məlumatlarını yerləşdirməyə imkan verir. Problem Flask və FastAPI autentifikasiya mexanizmləri arasındakı memarlıq uyğunsuzluğundan qaynaqlanır; burada `_find_fastapi_validator()` funksiyası `/gateway/` olmayan yolları emal edə bilmir ki, bu da tam autentifikasiyadan yan keçmə ilə nəticələnir. Bu zəiflik 3.10.0 versiyasında aradan qaldırılmışdır.