PT-2026-20862 · Databricks · Mlflow

Gothburz + 1 · Publicado 2026-02-19 · Atualizado 2026-03-19 · CVE-2026-2635

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas MLflow (versões afetadas não especificadas)

Descrição O MLflow é suscetível a um bypass de autenticação devido ao uso de senhas padrão. Isso permite acesso não autorizado ao sistema. O problema envolve uma falha de segurança crítica com pontuação CVSS de 9,8.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

RCE

Enumeração de Fraquezas

CWE-1393

Identificadores relacionados

CVE-2026-2635

GHSA-GQ3W-7JJ3-X7GR

ZDI-26-111

Produtos afetados

Mlflow

Referências · 14

• https://github.com/mlflow/mlflow · Nota
• https://github.com/mlflow/mlflow/pull/19260 · Aviso do Fabricante
• https://github.com/mlflow/mlflow/releases/tag/v3.8.0rc0 · Nota
• https://github.com/mlflow/mlflow/commit/5bf2ec2bd4222a18d78631183ac7f6b752afe8a4 · Nota
• https://zerodayinitiative.com/advisories/ZDI-26-111 · Nota de Segurança
• https://twitter.com/AIengineerlife/status/2025951730849157410 · Publicação no Twitter
• https://t.me/CVEtracker/45328 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-gq3w-7jj3-x7gr · Aviso do Fabricante
• https://raxe.ai/labs/advisories · Publicação no Reddit
• https://twitter.com/TheZDIBugs/status/2024525493148832099 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2024988718042693979 · Publicação no Twitter
• https://twitter.com/pulsepatchio/status/2034286730812231973 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-2635 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-2635 · Aviso do Fabricante