PT-2026-30820
CVE-2026-33865
·
تاريخ النشر
2026-04-07
·
تاريخ التحديث
2026-04-21
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MLflow حتى الإصدار 3.10.1
الوصف
يُعتبر MLflow عرضة لثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting أو XSS) بسبب التحليل غير الآمن لملفات MLmodel القائمة على لغة YAML ضمن واجهته على الويب. يمكن لمهاجم تمت مصادقته تحميل ملف MLmodel ضار يتم تنفيذه عندما يقوم مستخدم آخر بعرض العنصر في واجهة المستخدم، مما قد يؤدي إلى اختطاف الجلسة أو تنفيذ إجراءات غير مصرح بها نيابة عن الضحية. بالإضافة إلى ذلك، توجد ثغرة لتجاوز التفويض في نقطة نهاية AJAX المستخدمة لتنزيل عناصر النماذج المحفوظة. يؤدي عدم وجود التحقق من التحكم في الوصول إلى السماح لمستخدم لا يمتلك الأذونات المناسبة بالاستعلام مباشرةً عن نقطة النهاية هذه واسترداد عناصر النماذج التي ليس مخولًا بالوصول إليها.
التوصيات
تحديث MLflow إلى إصدار أحدث من 3.10.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾