PT-2026-54935 · Mlflow · Mlflow

Publicado 2026-07-02 · Atualizado 2026-07-02 · CVE-2026-8147

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas MLflow versões anteriores a 3.14.0

Description Quando a autenticação está habilitada, os endpoints da API de rastreamento (trace API) carecem de validadores de autorização adequados. Isso ocorre porque o manipulador before request não registra validadores de autorização para esses endpoints, permitindo que qualquer usuário autenticado ignore os controles de acesso ao nível de experimento. Consequentemente, um invasor com uma conta válida pode ler, excluir ou modificar rastreamentos em experimentos aos quais não tem permissão de acesso. Isso pode levar à exposição de dados sensíveis, adulteração da telemetria do experimento e destruição de logs de auditoria.

Recommendations Atualizar para a versão 3.14.0.

Exploit

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

CVE-2026-8147

Produtos afetados

Mlflow

Referências · 4

• 🔥 https://huntr.com/bounties/b00c3ddd-373e-492f-9bf0-41a28bb21ed5 · Exploit
• https://github.com/mlflow/mlflow/commit/f9b1eb510478570609ef451984a255775aa4b937 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-8147 · Nota de Segurança
• https://twitter.com/UpwindMDR/status/2072627596609704427 · Publicação no Twitter