CVE-2026-116690

Nome do Software Vulnerável e Versões Afetadas MLflow versões 3.10.0 through 3.16.1

Description Existe um problema onde um chamador remoto pode ler arquivos arbitrários do sistema de arquivos do servidor com os privilégios do processo do servidor. Isso ocorre porque o ramo de prompt na função create model version() aceita fontes relativas sem esquema, pois a validação do caminho é executada apenas quando a fonte possui um esquema de URL. Além disso, o sistema identifica um prompt com base na presença da tag mlflow.prompt.is prompt em vez de seu valor real.

Um invasor pode armazenar um caminho local do servidor como a localização do artefato da versão do modelo e, posteriormente, usar o endpoint /api/2.0/mlflow/model-versions/get-artifact para recuperar arquivos sensíveis, como /etc/passwd ou bancos de dados de autenticação. Em servidores não autenticados, isso é explorável por qualquer chamador remoto; em implantações usando autenticação básica, qualquer usuário autenticado capaz de criar modelos registrados pode explorar isso para ler o banco de dados de autenticação e hashes de senhas de administrador.

Recommendations Atualize o MLflow para a versão 3.17.0. Como mitigação temporária, restrinja o acesso ao endpoint /api/2.0/mlflow/model-versions/get-artifact ou desabilite a capacidade de usuários com baixos privilégios de criar modelos registrados.