PT-2026-41260
CVE-2026-2652
·
تاريخ النشر
2026-05-15
·
تاريخ التحديث
2026-10-16
الوصف من
CVSS 3.1
8.6
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات mlflow الأقدم من 3.10.0
الوصف
يحدث تجاوز للمصادقة عند تشغيل الخادم مع تمكين المصادقة عبر
--app-name basic-auth وتقديم الخدمة باستخدام uvicorn (ASGI). لا تفرض البرمجيات الوسيطة الخاصة بالأذونات في FastAPI المصادقة إلا على مسارات ’/gateway/‘، مما يترك نقاط النهاية الأخرى دون حماية. وهذا يسمح للمهاجمين عن بُعد غير المصادق عليهم بإرسال المهام، وقراءة نتائج المهام، وإلغاء المهام قيد التشغيل، وإدخال بيانات تتبع عشوائية في التجارب. تنجم هذه المشكلة عن عدم توافق في البنية بين آليات المصادقة في Flask وFastAPI، وتحديدًا عندما تفشل الدالة find fastapi validator() في معالجة المسارات غير التابعة لـ ’/gateway/‘. تشمل نقاط النهاية المتأثرة واجهة برمجة تطبيقات المهام ’/ajax-api/3.0/jobs/*‘ وواجهة برمجة تطبيقات استيعاب التتبع في OpenTelemetry ’/v1/traces‘. تم تحديد أكثر من 9,700 جهاز قد تكون متأثرة.التوصيات
التحديث إلى الإصدار 3.10.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾