CVE-2026-116692

Nome do Software Vulnerável e Versões Afetadas MLflow versões 3.12.0 até 3.16.x

Descrição A desserialização de pontuadores (scorers) de terceiros em mlflow/genai/scorers/base.py permite a importação de descendentes selecionados via requisição de módulos permitidos, em vez de exigir uma correspondência exata. Um invasor pode usar endpoints de artefatos para colocar um módulo Python malicioso dentro de um pacote permitido gravável e disparar sua execução através do endpoint /ajax-api/3.0/mlflow/scorer/invoke. A função Scorer.model validate json() importa o módulo e instancia a classe antes que qualquer processamento ou validação de rastreamento ocorra. Em implantações onde a autenticação está desativada, isso permite a execução de código Python arbitrário não autenticado. Em implantações com autenticação básica, é necessário um usuário com permissões para criar experimentos, execuções e fazer upload de artefatos. A exploração depende de o processo do servidor ter acesso de gravação ao diretório do pacote de pontuadores permitidos.

Recomendações Atualize para a versão 3.17.0. Como mitigação temporária, garanta que o processo do servidor não tenha permissões de gravação nos diretórios de pacotes Python instalados, especificamente aqueles que contêm os módulos de pontuadores permitidos.