CVE-2026-64849
Təsvir
MLflow agentlər, böyük dil modelləri və maşın öyrənməsi modelləri üçün açıq mənbəli süni intellekt mühəndisliyi platformasıdır. 3.3.0 versiyasından başlayaraq 3.15.0 versiyasına qədər olan versiyalarda, autentifikasiya olunmamış POST /api/2.0/mlflow/webhooks/{id}/test son nöqtəsi mlflow/utils/validation.py faylındakı _validate_webhook_url() funksiyasını yalnız orijinal URL üçün çağırır, lakin mlflow/webhooks/delivery.py yönləndirmələri izləyir və təsdiqlənmiş ünvanı sabitləmədən host adını yenidən müəyyən edir. Bu, hücumçulara daxili və ya bulud metadata xidmətlərinə çatmağa və response_status ilə response_body cavablarını almağa imkan verir. Bu problem 3.15.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
İstehsalçının tövsiyə etdiyi tədbirləri tətbiq edin. Tədbir yoxdursa, məhsuldan istifadəni dayandırın.
CISA son tarixi: 2 sen 2026- lfprojects mlflow3.15.0 və ya daha yeni versiya
- mlflow3.15.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lfprojects mlflow | 3.3.0 ≤ v < 3.15.0 | 3.15.0 |
| mlflowPyPI | 3.3.0 ≤ v < 3.15.0, v < 3.15.0 | 3.15.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.