CVE-2026-2393
Açıklama
MLflow'un 3.9.0 öncesindeki sürümlerinde bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti bulunmaktadır. `mlflow/server/handlers.py` dosyasındaki `_create_webhook()` fonksiyonu, kullanıcı kontrollü bir `url` parametresini doğrulama yapmadan kabul etmekte ve `mlflow/webhooks/delivery.py` dosyasındaki `_send_webhook_request()` fonksiyonu bu saldırgan kontrollü URL'ye HTTP POST istekleri göndermektedir. Bu durum, kimliği doğrulanmış bir saldırganın, MLflow arka ucunu dahili servislere, bulut meta veri uç noktalarına veya rastgele harici sunuculara HTTP istekleri göndermeye zorlamasına olanak tanır. Webhook URL'si üzerinde girdi temizleme, URL şeması filtreleme veya izin listesi doğrulamasının olmaması; bulut kimlik bilgilerinin çalınmasına, dahili ağ erişimine ve veri sızdırılmasına yol açabilecek istismarları mümkün kılmaktadır.
Nasıl düzeltilir
- lfprojects mlflow3.9.0 ya da sonraki bir sürüm
- mlflow3.9.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects mlflow | v < 3.9.0 | 3.9.0 |
| mlflowPyPI | v < 3.9.0 | 3.9.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.