CVE-2026-115886

Nome do Software Vulnerável e Versões Afetadas MLflow versões 3.12.0rc0 até 3.16.x

Descrição Um invasor não autenticado pode forçar o servidor de rastreamento a fazer uma requisição HTTP externa para um host arbitrário, incluindo serviços internos ou endpoints de metadados de nuvem, com cabeçalhos e corpo controlados pelo invasor. Este Server-Side Request Forgery (SSRF) ocorre porque o servidor instancia reflexivamente uma classe a partir de um JSON fornecido pelo invasor sem restringir a classe selecionada ou seus argumentos de construtor. Especificamente, a função Scorer.model validate json() resolve uma lista de permissões de caminho de módulo, mas falha em restringir o atributo refletido ou seus argumentos de palavra-chave. Quando os pacotes opcionais trulens e trulens-providers-litellm estão instalados, um invasor pode usar o módulo mlflow.genai.scorers.trulens e um URI de modelo fora do registro de provedores nativos para acionar um fallback do LiteLLM. Isso permite a injeção de valores api base e api key que direcionam o servidor a enviar requisições para um host externo ou interno. O problema afeta o endpoint POST /ajax-api/3.0/mlflow/scorer/invoke.

Recomendações Atualize o MLflow para a versão 3.17.0. Como mitigação temporária, restrinja o acesso ao endpoint POST /ajax-api/3.0/mlflow/scorer/invoke ou desinstale os pacotes trulens e trulens-providers-litellm caso não sejam necessários.