CVE-2026-64849
Açıklama
MLflow; ajanlar, büyük dil modelleri ve makine öğrenimi modelleri için açık kaynaklı bir yapay zeka mühendisliği platformudur. 3.3.0 sürümüyle başlayıp 3.15.0 sürümünden önce olan versiyonlarda, kimlik doğrulaması gerektirmeyen POST /api/2.0/mlflow/webhooks/{id}/test uç noktası, mlflow/utils/validation.py içindeki _validate_webhook_url() fonksiyonunu yalnızca orijinal URL için çağırırken; mlflow/webhooks/delivery.py yönlendirmeleri takip etmekte ve doğrulanan adresi sabitlemeden ana bilgisayar adını yeniden çözümlemektedir. Bu durum, saldırganların dahili veya bulut meta veri servislerine erişmesine ve response_status ile response_body bilgilerini almasına olanak tanır. Bu sorun 3.15.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Üreticinin önerdiği önlemleri uygulayın. Önlem yoksa ürünü kullanmayı bırakın.
CISA son tarihi: 2 Eyl 2026- lfprojects mlflow3.15.0 ya da sonraki bir sürüm
- mlflow3.15.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects mlflow | 3.3.0 ≤ v < 3.15.0 | 3.15.0 |
| mlflowPyPI | 3.3.0 ≤ v < 3.15.0, v < 3.15.0 | 3.15.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.