PT-2026-1734 · Databricks · Mlflow

CVE-2025-14279 · Publicado 2026-01-12 · Atualizado 2026-07-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do MLFlow até e incluindo a 3.4.0

Descrição As versões do MLFlow até e incluindo a 3.4.0 estão suscetíveis a ataques de rebinding de DNS devido à falta de validação do cabeçalho Origin no servidor REST do MLFlow. Isso permite que sites maliciosos contornem as proteções da Política de Mesma Origem (Same-Origin Policy) e realizem solicitações não autorizadas nos endpoints REST. Um atacante poderia consultar, atualizar e excluir experimentos por meio desses endpoints, resultando potencialmente em exfiltração, destruição ou manipulação de dados. O servidor REST é afetado.

Recomendações Atualize para a versão 3.5.0 ou posterior.

Exploit

Correção

Origin Validation Error

Enumeração de Fraquezas

CWE-346

Identificadores relacionados

BIT-MLFLOW-2025-14279

CVE-2025-14279

GHSA-PGQP-8H46-6X4J

PYSEC-2026-1656

Produtos afetados

Mlflow

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/14xxx/CVE-2025-14279.json · Exploit
• 🔥 https://huntr.com/bounties/ef478f72-2e4f-44dc-8055-fc06bef03108 · Exploit
• https://github.com/mlflow/mlflow · Nota
• https://github.com/mlflow/mlflow/pull/17910 · Nota
• https://github.com/mlflow/mlflow/commit/b0ffd289e9b0d0cc32c9e3a9b9f3843ae83dbec3 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2025-14279 · Nota de Segurança
• https://twitter.com/pulsepatchio/status/2045707497932005849 · Publicação no Twitter
• https://osv.dev/vulnerability/BIT-mlflow-2025-14279 · Aviso do Fabricante
• https://t.me/CVEtracker/41979 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-pgqp-8h46-6x4j · Aviso do Fabricante
• https://twitter.com/hud_evals/status/2034418756550861059 · Publicação no Twitter
• https://osv.dev/vulnerability/PYSEC-2026-1656 · Aviso do Fabricante
• https://twitter.com/TheHackerWire/status/2010652935873847304 · Publicação no Twitter
• https://github.com/advisories/GHSA-pgqp-8h46-6x4j · Nota
• https://pypi.org/project/mlflow · Nota