CVE-2026-3198
Təsvir
basic-auth (`--app-name basic-auth`) ilə konfiqurasiya edilmiş MLflow 3.9.0 versiyasında bir neçə Gateway API 'list' son nöqtələri üçün avtorizasiya yoxlamaları tətbiq edilmir. Xüsusilə, `mlflow/server/auth/__init__.py` faylındakı `BEFORE_REQUEST_HANDLERS` lüğətində `ListGatewaySecretInfos`, `ListGatewayEndpoints` və `ListGatewayModelDefinitions` üçün yazılar mövcud deyil. Bu, təyin olunmuş icazələrindən asılı olmayaraq, hər hansı autentifikasiya olunmuş istifadəçiyə bütün gateway gizli məlumatlarını, son nöqtələrini və model təriflərini sadalamağa imkan verir. Bu zəiflik API açarları, son nöqtə konfiqurasiyaları və mülkiyyət hüquqlu model tərifləri kimi həssas məlumatları yetkisiz istifadəçilərə açıq edir.
Necə düzəltmək olar
- mlflow3.11.0rc0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lfprojects mlflow | 3.9.0 | — |
| mlflowPyPI | v < 3.11.0rc0 | 3.11.0rc0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.