CVE-2026-69146
Açıklama
MLflow, ajanlar, büyük dil modelleri ve makine öğrenmesi modelleri için açık kaynaklı bir yapay zeka mühendisliği platformudur. 3.13.0 sürümünden 3.15.0 sürümüne kadar, mlflow/server/auth paketindeki BEFORE_REQUEST_HANDLERS içinde LogInputs bulunmamaktadır; bu da kimliği doğrulanmış herhangi bir kullanıcının başka bir kullanıcının run_id değeri için POST /api/2.0/mlflow/runs/log-inputs çağrısı yapmasına ve UPDATE izni olmadan saldırgan tarafından kontrol edilen DatasetInput kayıtlarını dataset_inputs soy verisi meta verilerine enjekte etmesine olanak tanır. Bu sorun 3.15.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- mlflow3.15.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mlflownpm | v < 3.15.0 | 3.15.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.