CVE-2026-8147
Təsvir
MLflow-un 3.14.0-dan əvvəlki versiyalarında, autentifikasiya aktivləşdirilmiş halda işləyərkən, trace API endpoint-lərində düzgün avtorizasiya validatorları yoxdur. Bu, istənilən autentifikasiya olunmuş istifadəçiyə bütün trace əməliyyatlarına, o cümlədən icazəsi olmayan eksperimentlərdə trace-lərin oxunması, silinməsi və dəyişdirilməsinə dair eksperiment səviyyəsində avtorizasiya nəzarətlərindən yan keçməyə imkan verir. Problem trace endpoint-ləri üçün avtorizasiya validatorlarını qeydiyyata almayan `_before_request` handler-indən irəli gəlir və nəticədə sorğular validasiya olmadan davam edir. Bu zəiflik həssas məlumatları ifşa edə, audit jurnallarını məhv edə və icazəsiz dəyişikliklərə imkan verə bilər.
Necə düzəltmək olar
- lfprojects mlflow3.14.0 və ya daha yeni versiya
- mlflow3.13.0rc0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lfprojects mlflow | v < 3.14.0 | 3.14.0 |
| mlflowPyPI | 2.14.0rc0 ≤ v < 3.13.0rc0 | 3.13.0rc0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.