CVE-2026-3198
Açıklama
basic-auth (`--app-name basic-auth`) ile yapılandırılmış MLflow 3.9.0, birden fazla Gateway API 'list' uç noktası için yetkilendirme kontrollerini uygulamada başarısız olur. Spesifik olarak, `mlflow/server/auth/__init__.py` dosyasındaki `BEFORE_REQUEST_HANDLERS` sözlüğü; `ListGatewaySecretInfos`, `ListGatewayEndpoints` ve `ListGatewayModelDefinitions` için girişler içermemektedir. Bu durum, atanmış izinlerine bakılmaksızın herhangi bir kimliği doğrulanmış kullanıcının tüm gateway sırlarını, uç noktalarını ve model tanımlamalarını listelemesine olanak tanır. Bu güvenlik açığı; API anahtarları, uç nokta yapılandırmaları ve tescilli model tanımlamaları gibi hassas bilgileri yetkisiz kullanıcıların erişimine açmaktadır.
Nasıl düzeltilir
- mlflow3.11.0rc0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects mlflow | 3.9.0 | — |
| mlflowPyPI | v < 3.11.0rc0 | 3.11.0rc0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.