PT-2024-18157 · Mlflow · Mlflow

CVE-2024-1594 · Publicado 2024-04-15 · Atualizado 2026-07-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

mlflow/mlflow (versões afetadas não especificadas)

Descrição

Existe uma vulnerabilidade de traversal de caminho no tratamento do parâmetro artifact location durante a criação de um experimento. Os invasores podem explorar essa vulnerabilidade usando o caractere de fragmento # na URI da localização do artefato para ler arquivos arbitrários no servidor, no contexto do processo do servidor.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BIT-MLFLOW-2024-1594

CVE-2024-1594

GHSA-M49C-5C52-6696

PYSEC-2026-1655

Produtos afetados

Mlflow

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/1xxx/CVE-2024-1594.json · Exploit
• 🔥 https://huntr.com/bounties/424b6f6b-e778-4a2b-b860-39730d396f3e · Exploit
• https://github.com/mlflow/mlflow · Nota
• https://github.com/mlflow/mlflow/blob/b929a3e727dc48a1eb19b7e954b7897ac09ad3ec/mlflow/utils/uri.py#L246 · Nota
• https://twitter.com/VulmonFeeds/status/1780116839646867955 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-1594 · Aviso do Fabricante
• https://github.com/advisories/GHSA-m49c-5c52-6696 · Nota
• https://twitter.com/CVEnew/status/1780039211024056480 · Publicação no Twitter
• https://t.me/cvenotify/109661 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-m49c-5c52-6696 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2026-1655 · Aviso do Fabricante
• https://pypi.org/project/mlflow · Nota
• https://osv.dev/vulnerability/BIT-mlflow-2024-1594 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-1594 · Nota de Segurança