6.3
Moyenne
CVE-2026-118625 MLflow Tracking Server Missing Authorization Privilege Escalation Vulnerability
Description
MLflow Tracking Server Missing Authorization Privilege Escalation Vulnerability. This vulnerability allows remote attackers to escalate privileges on affected installations of MLflow. Authentication is required to exploit this vulnerability. The specific flaw exists within the get_endpoints function. The issue results from the lack of authorization prior to allowing access to functionality. An attacker can leverage this vulnerability to escalate privileges to resources normally protected from the user. Was ZDI-CAN-32107.
Détail CVSS 3.0
Vecteur CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:LExploitable à distance par le réseau, avec un compte ordinaire et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Privilèges requis
- Faibles
- Interaction
- Aucune
- Portée
- Inchangée
- Confidentialité
- Faible
- Intégrité
- Faible
- Disponibilité
- Faible
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| MLflow | 3.14.0 | Pas de correctif indiqué |
Autres CVE de MLflow
Les 38 CVE de MLflow →
CVE-2026-118628
MLflow get-artifacts Server-Side Request Forgery Information Disclosure Vulnerability
8.2
Élevée
CVE-2026-118627
MLflow SHAP load_explainer Deserialization of Untrusted Data Remote Code Execution Vulnerability
7.8
Élevée
CVE-2026-118626
MLflow Tracking Server Issues Missing Authorization Privilege Escalation Vulnerability
5.4
Moyenne
CVE-2026-118624
MLflow Tracking Server Jobs Missing Authorization Information Disclosure Vulnerability
5.4
Moyenne