CVE-2026-2734
Açıklama
mlflow/mlflow'un 3.9.0 ve öncesi sürümlerinde, temel kimlik doğrulama etkinleştirildiğinde `SearchModelVersions` REST API uç noktası ve `mlflowSearchModelVersions` GraphQL sorgusu uygun model bazlı yetkilendirme kontrollerinden yoksundur. Bu durum, herhangi bir kimliği doğrulanmış kullanıcının, izin seviyesine bakılmaksızın tüm kayıtlı modellerdeki tüm model versiyonlarını listelemesine olanak tanır. Sorun, REST API için `BEFORE_REQUEST_VALIDATORS` ve `AFTER_REQUEST_HANDLERS` içinde `SearchModelVersions` ifadesinin bulunmamasından ve GraphQL için `GraphQLAuthorizationMiddleware.PROTECTED_FIELDS` kısmında yer almamasından kaynaklanmaktadır. Bu güvenlik açığı; model adları, versiyon açıklamaları, kaynak URI'leri, etiketler ve diğer meta veriler gibi hassas bilgileri ifşa ederek çok kiracılı ortamlarda tescilli veya gizli ayrıntıların ortaya çıkmasına neden olabilir. Sorun 3.10.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- lfprojects mlflow3.10.0 ya da sonraki bir sürüm
- mlflow3.10.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects mlflow | v < 3.10.0 | 3.10.0 |
| mlflowPyPI | v < 3.10.0 | 3.10.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.