CVE-2024-8859

mlflow/mlflow sürüm 2.15.1'de bir yol aşımı (path traversal) zafiyeti bulunmaktadır. Kullanıcılar dbfs servisini yapılandırıp kullandığında, URL'nin doğrudan dosya protokolüne eklenmesi rastgele dosya okuma zafiyetine yol açmaktadır. Bu sorun, URL'nin yalnızca yol kısmının kontrol edilmesinden, sorgu ve parametreler gibi kısımların ise işlenmemesinden kaynaklanmaktadır. Zafiyet, kullanıcının dbfs servisini yapılandırmış olması ve kullanım sırasında servisin yerel bir dizine bağlanmış olması durumunda tetiklenmektedir.