Tóm tắt nhanh
- CVE-2026-2611 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.6) ảnh hưởng mlflow, mlflow (lfprojects).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.38%, cao hơn 32.5% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 3.10.0 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| mlflow PyPI | ≥ 3.9.0, < 3.10.0
| 3.10.0
|
| mlflow | ≥ 3.9.0, < 3.10.0
| 3.10.0
|
Mô tả
In MLflow version 3.9.0, the MLflow Assistant feature introduced improper origin validation in its /ajax-api endpoints. This vulnerability allows a remote attacker to exploit cross-origin requests from a malicious webpage to interact with the MLflow Assistant running on a victim's local machine. By bypassing the loopback-only restriction, the attacker can modify the Assistant's configuration to enable full access, which in turn allows the execution of arbitrary commands via the Claude Code sub-agent. This issue is resolved in version 3.10.0.
Mô tả của NVD
In MLflow version 3.9.0, the MLflow Assistant feature introduced improper origin validation in its /ajax-api endpoints. This vulnerability allows a remote attacker to exploit cross-origin requests from a malicious webpage to interact with the MLflow Assistant running on a victim's local machine. By bypassing the loopback-only restriction, the attacker can modify the Assistant's configuration to enable full access, which in turn allows the execution of arbitrary commands via the Claude Code sub-agent. This issue is resolved in version 3.10.0.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí