CVE-2026-33866
Orta
Açıklama
MLflow, kaydedilen model artifaktlarını indirmek için kullanılan AJAX uç noktasını etkileyen bir yetkilendirme atlatma zafiyetine sahiptir. Erişim kontrolü doğrulamasının eksik olması nedeniyle, belirli bir deneye erişim izni olmayan bir kullanıcı, bu uç noktaya doğrudan sorgu göndererek erişim yetkisi bulunmayan model artifaktlarını elde edebilir. Bu sorun, 3.10.1 sürümüne kadar olan MLflow sürümlerini etkilemektedir.
ÖnemOrta
CVSS4.3
İstismar olasılığı—
ÜrünLfprojects Mlflow
Yayın7 Nis 2026
İlk görülme7 Nis 2026
Zayıflık türüCWE-862Yetki denetimi eksikliği
Nasıl düzeltilir
Güncelleyin
- mlflow3.11.0rc0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects mlflow | v ≤ 3.10.1 | — |
| mlflowPyPI | v < 3.11.0rc0 | 3.11.0rc0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.