CVE-2026-8147
CVE-2026-8147 · Authorization Bypass in mlflow/mlflow
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
In MLflow versions prior to 3.14.0, when running with authentication enabled, the trace API endpoints lack proper authorization validators. This allows any authenticated user to bypass experiment-level authorization controls on all trace operations, including reading, deleting, and modifying traces on experiments they do not have permission to access. The issue arises from the `_before_request` handler, which does not register authorization validators for trace endpoints, resulting in requests proceeding without validation. This vulnerability can expose sensitive data, destroy audit logs, and allow unauthorized modifications.
CVSS 8.1 · Высокий · EPSS 0,5% · Есть исправление
- Опубликовано
- Обновлено
Стек: python
Затронутые продукты и версии
mlflow/mlflow
- Версии
- ≥ unspecified, < 3.14.0: Затронуто (custom)
Обновитесь до 3.14.0
mlflow PyPI
- Версии
- 2.14.0
- 2.14.0rc0
- 2.14.1
- 2.14.2
- 2.14.2.dev0
- 2.14.3
- 2.15.0
- 2.15.0rc0
- 2.15.1
- 2.16.0
- 2.16.1
- 2.16.2
- 2.17.0
- 2.17.0rc0
- 2.17.1
- 2.17.2
- 2.18.0
- 2.18.0rc0
- 2.19.0
- 2.19.0rc0
- 2.20.0
- 2.20.0rc0
- 2.20.1
- 2.20.2
- 2.20.3
- 2.20.4
- 2.21.0
- 2.21.0rc0
- 2.21.1
- 2.21.2
- 2.21.3
- 2.22.0
- 2.22.0rc0
- 2.22.1
- 2.22.2
- 2.22.3
- 2.22.4
- 2.22.5
- 3.0.0
- 3.0.0rc0
- 3.0.0rc1
- 3.0.0rc2
- 3.0.0rc3
- 3.0.1
- 3.1.0
- 3.1.0rc0
- 3.1.1
- 3.1.2
- 3.1.3
- 3.1.4
- 3.10.0
- 3.10.0rc0
- 3.10.1
- 3.11.0
- 3.11.0rc0
- 3.11.0rc1
- 3.11.1
- 3.12.0
- 3.12.0rc0
- 3.2.0
- 3.2.0rc0
- 3.3.0
- 3.3.0rc0
- 3.3.1
- 3.3.2
- 3.4.0
- 3.4.0rc0
- 3.5.0
- 3.5.0rc0
- 3.5.1
- 3.6.0
- 3.6.0rc0
- 3.7.0
- 3.7.0rc0
- 3.8.0
- 3.8.0rc0
- 3.8.1
- 3.9.0
- 3.9.0rc0
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 2.14.0rc0, < 3.13.0rc0
Обновитесь до 3.13.0rc0