CVE-2026-71211
Yüksək
Təsvir
MLflow-nun AI Gateway-i, gateway sirri yaradarkən (mlflow/server/handlers.py, _create_gateway_secret) sxem, host və ya IP diapazonunun yoxlanılması olmadan auth_config.api_base dəyərini qəbul edir; bu dəyər olduğu kimi saxlanılır. Daha sonra gateway proksi son nöqtəsi (mlflow/server/gateway_api.py, raw_proxy) həmin saxlanılmış api_base ünvanına və çağırıcı tərəfindən təqdim edilən yola HTTP sorğusu göndərir və cavabın tam gövdəsini qaytarır.
CiddilikYüksək
CVSS7.1
İstismar ehtimalı—
MəhsulMlflow
Dərc5 avq 2026
İlk görülmə5 avq 2026
Zəiflik növüCWE-918Server tərəfli sorğu saxtakarlığı (SSRF)
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mlflowPyPI | 3.13.0 ≤ v ≤ 3.15.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.