CVE-2026-8147
Açıklama
MLflow'un 3.14.0 öncesindeki sürümlerinde, kimlik doğrulama etkinleştirilmişken çalıştırıldığında, trace API uç noktaları uygun yetkilendirme doğrulayıcılarından yoksundur. Bu durum, herhangi bir kimliği doğrulanmış kullanıcının; erişim iznine sahip olmadıkları deneylerdeki izleri okuma, silme ve değiştirme dahil olmak üzere tüm trace işlemleri üzerindeki deney düzeyindeki yetkilendirme kontrollerini atlatmasına olanak tanır. Sorun, trace uç noktaları için yetkilendirme doğrulayıcılarını kaydetmeyen `_before_request` işleyicisinden kaynaklanmakta ve isteklerin doğrulama yapılmadan ilerlemesine yol açmaktadır. Bu güvenlik açığı hassas verileri ifşa edebilir, denetim günlüklerini yok edebilir ve yetkisiz değişikliklere izin verebilir.
Nasıl düzeltilir
- lfprojects mlflow3.14.0 ya da sonraki bir sürüm
- mlflow3.13.0rc0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects mlflow | v < 3.14.0 | 3.14.0 |
| mlflowPyPI | 2.14.0rc0 ≤ v < 3.13.0rc0 | 3.13.0rc0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.