PT-2026-20862 · Databricks · Mlflow

Gothburz + 1 · CVE-2026-2635 · Publicado 2026-02-19 · Atualizado 2026-06-29

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas MLflow (versões afetadas não especificadas)

Descrição O MLflow é suscetível a um bypass de autenticação devido ao uso de senhas padrão. Isso permite acesso não autorizado ao sistema. O problema envolve uma falha de segurança crítica com pontuação CVSS de 9,8.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-1393

CWE-798

Identificadores relacionados

CVE-2026-2635

GHSA-GQ3W-7JJ3-X7GR

PYSEC-2026-421

ZDI-26-111

Produtos afetados

Mlflow

Referências · 21

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/2xxx/CVE-2026-2635.json · Exploit
• https://github.com/mlflow/mlflow/pull/19260 · Aviso do Fabricante
• https://github.com/mlflow/mlflow/commit/5bf2ec2bd4222a18d78631183ac7f6b752afe8a4 · Nota
• https://github.com/mlflow/mlflow/releases/tag/v3.8.0rc0 · Nota
• https://github.com/mlflow/mlflow · Nota
• https://bugzilla.redhat.com/show_bug.cgi?id=2441514 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-2635 · Nota de Segurança
• https://zerodayinitiative.com/advisories/ZDI-26-111 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-gq3w-7jj3-x7gr · Aviso do Fabricante
• https://twitter.com/AIengineerlife/status/2025951730849157410 · Publicação no Twitter
• https://t.me/CVEtracker/45328 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2026-421 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2024988718042693979 · Publicação no Twitter
• https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-2635.json · Nota
• https://github.com/advisories/GHSA-gq3w-7jj3-x7gr · Nota