CVE-2026-2652

Nome do Software Vulnerável e Versões Afetadas mlflow versões anteriores a 3.10.0

Descrição Ocorre uma falha de bypass de autenticação quando o servidor é iniciado com a autenticação habilitada via --app-name basic-auth e servido usando uvicorn (ASGI). O middleware de permissão do FastAPI impõe a autenticação apenas em rotas '/gateway/', deixando outros endpoints desprotegidos. Isso permite que atacantes remotos não autenticados enviem jobs, leiam resultados de jobs, cancelem jobs em execução e injetem dados de rastreamento arbitrários em experimentos. O problema é causado por uma incompatibilidade arquitetural entre os mecanismos de autenticação do Flask e do FastAPI, especificamente onde a função find fastapi validator() falha ao lidar com caminhos que não sejam '/gateway/'. Os endpoints afetados incluem a Job API '/ajax-api/3.0/jobs/*' e a API de ingestão de rastreamento OpenTelemetry '/v1/traces'. Mais de 9.700 dispositivos potencialmente afetados foram identificados.

Recomendações Atualizar para a versão 3.10.0.