PT-2026-8004 · Databricks · Mlflow Tracking Server

Muhammad Fadilullah Dzaki · CVE-2026-2033 · Publicado 2026-02-13 · Atualizado 2026-07-13

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas MLflow Tracking Server (versões afetadas não especificadas)

Descrição Existe uma vulnerabilidade de traversia de diretório no manipulador de artefatos do MLflow Tracking Server, potencialmente levando à execução remota de código. O problema envolve o tratamento inadequado de caminhos de arquivo, o que poderia permitir que um invasor acessasse ou modificasse arquivos fora do diretório pretendido.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

RCE

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-2033

GHSA-Q2R8-VMQ7-FPX2

PYSEC-2026-2658

ZDI-26-105

Produtos afetados

Mlflow Tracking Server

Referências · 17

• https://github.com/mlflow/mlflow/pull/19260 · Aviso do Fabricante
• https://github.com/mlflow/mlflow/commit/5bf2ec2bd4222a18d78631183ac7f6b752afe8a4 · Nota
• https://github.com/mlflow/mlflow/releases/tag/v3.8.0rc0 · Nota
• https://github.com/mlflow/mlflow · Nota
• https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-2033.json · Nota
• https://access.redhat.com/security/cve/CVE-2026-2033 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-2033 · Nota de Segurança
• https://zerodayinitiative.com/advisories/ZDI-26-105 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-q2r8-vmq7-fpx2 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=2441508 · Nota
• https://github.com/advisories/GHSA-q2r8-vmq7-fpx2 · Nota
• https://twitter.com/CVEnew/status/2024988740217983298 · Publicação no Twitter
• https://osv.dev/vulnerability/PYSEC-2026-2658 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-2033 · Aviso do Fabricante
• https://pypi.org/project/mlflow · Nota