PT-2024-18156 · Mlflow · Mlflow

CVE-2024-1593 · Publicado 2024-04-15 · Atualizado 2026-07-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

mlflow/mlflow (versões afetadas não especificadas)

Descrição

Existe uma vulnerabilidade de traversal de caminho devido ao tratamento inadequado dos parâmetros de URL. Os invasores podem manipular a parte ‘params’ da URL inserindo sequências de traversal de caminho usando o caractere ‘;’, permitindo acesso não autorizado a arquivos ou diretórios. Isso permite a inserção de dados arbitrários na parte ‘params’ da URL, levando a uma possível divulgação não autorizada de informações ou comprometimento do servidor.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BIT-MLFLOW-2024-1593

CVE-2024-1593

GHSA-F42M-MVFV-CGW5

PYSEC-2026-1649

Produtos afetados

Mlflow

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/1xxx/CVE-2024-1593.json · Exploit
• 🔥 https://huntr.com/bounties/dbdc6bd6-d09a-46f2-9d9c-5138a14b6e31 · Exploit
• https://github.com/mlflow/mlflow · Nota
• https://osv.dev/vulnerability/GHSA-f42m-mvfv-cgw5 · Aviso do Fabricante
• https://t.me/cvenotify/109660 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-1593 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1780039220490605013 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-1593 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2026-1649 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-mlflow-2024-1593 · Aviso do Fabricante
• https://pypi.org/project/mlflow · Nota
• https://twitter.com/VulmonFeeds/status/1780113549672460485 · Publicação no Twitter
• https://github.com/advisories/GHSA-f42m-mvfv-cgw5 · Nota