mlflow mlflow — CVE-2026-64849

Résumé

MLflow est une plateforme d'ingénierie de l'IA open source pour des agents, des modèles linguistiques de grande taille et des modèles de machine learning. À partir de la version 3.3.0 et avant la version 3.15.0, les appels à l'endpoint POST non authentifié /api/2.0/mlflow/webhooks/{id}/test dans mlflow/utils/validation.py ne vérifient que l'URL d'origine tandis que mlflow/webhooks/delivery.py suit les redirections et ré-résout le nom de domaine sans fixer l'adresse validée, ce qui permet aux attaquants de se connecter à des services de métadonnées internes ou cloud et de recevoir la réponse_st

Source : www.cve.org/CVERecord?id=CVE-2026-64849

Êtes-vous concerné ?

NADEG vous alerte dès qu'une vulnérabilité touche vos produits : score, exploitation connue, correctif éditeur, le tout en français et par e-mail. Gratuit jusqu'à 5 produits.