PT-2026-28274
CVE-2025-15381
·
تاريخ النشر
2026-03-27
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
mlflow/mlflow (لم يتم تحديد الإصدارات المتأثرة)
الوصف
عند تمكين تطبيق
basic-auth، لا يتم حماية نقاط نهاية التتبع والتقييم بواسطة أدوات التحقق من الأذونات. وهذا يسمح لأي مستخدم تمت مصادقته، حتى أولئك الذين لديهم دور NO PERMISSIONS في تجربة ما، بقراءة معلومات التتبع وإنشاء تقييمات لعمليات التتبع التي لا ينبغي أن يكون لديهم حق الوصول إليها. ويؤثر هذا على السرية من خلال الكشف عن بيانات التعريف الوصفية للتتبع، وعلى السلامة من خلال السماح بإنشاء تقييمات غير مصرح بها. تؤثر هذه المشكلة على عمليات النشر التي تستخدم mlflow server --app-name=basic-auth. نقاط النهاية المعرضة للخطر هي نقاط نهاية التتبع والتقييم. ويُعد دور NO PERMISSIONS عاملاً في استغلال هذه المشكلة.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾