CVE-2026-0545

Name of the Vulnerable Software and Affected Versions mlflow/mlflow (versões afetadas não especificadas)

Description Os endpoints FastAPI de jobs sob /ajax-api/3.0/jobs/* em mlflow/mlflow não são protegidos por autenticação ou autorização quando o app basic-auth está habilitado. Se a execução de jobs estiver habilitada (MLFLOW SERVER ENABLE JOB EXECUTION=true) e qualquer função de job estiver na lista de permissões, qualquer cliente de rede pode enviar, ler, pesquisar e cancelar jobs sem credenciais, ignorando completamente a autenticação básica. Isso pode levar à execução remota de código não autenticada se os jobs permitidos executarem ações privilegiadas, como execução de shell ou alterações no sistema de arquivos. Mesmo que os jobs sejam considerados seguros, isso ainda constitui um bypass de autenticação, podendo resultar em spam de jobs, negação de serviço (DoS) ou exposição de dados nos resultados do job.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.