CVE-2026-115886 Falsificación de petición del lado del servidor en servidores MLflow sin autenticación

Qué es CVE-2026-115886

Desde 3.12.0rc0 hasta 3.17.0, los endpoints scorer invoke, register y GenAI evaluate de MLflow, incluido el POST /ajax-api/3.0/mlflow/scorer/invoke sin autenticación, aceptan datos serializados de scorers de terceros que Scorer.model_validate_json resuelve con una lista de módulos permitidos sin restringir la clase ni los argumentos del constructor. Con trulens y trulens-providers-litellm instalados, un atacante puede hacer que el servidor envíe una petición saliente a un host elegido por él o interno, con…

Productos y versiones afectadas

• mlflow

  • >= 3.12.0rc0, < 3.17.0

Qué hacer

1. Verificá si usás mlflow y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

MLflow is an open source AI engineering platform for agents, large language models, and machine learning models. From 3.12.0rc0 until 3.17.0, the scorer invoke, register, and GenAI evaluate endpoints, including unauthenticated POST /ajax-api/3.0/mlflow/scorer/invoke, accept serialized third-party scorer data that Scorer.model_validate_json resolves using a module-path allowlist without constraining the selected class or its constructor arguments. When optional trulens and trulens-providers-litellm packages are installed, an attacker can select mlflow.genai.scorers.trulens, choose a model URI outside MLflow's native provider registry so execution uses the LiteLLM fallback, and supply api_base and api_key values that cause the server to send an outbound request to an attacker-chosen or internal host with attacker-controlled headers and body. The vulnerable deserialization occurs before a tracking-store lookup or job submission. This issue is fixed in version 3.17.0.

Referencias

• github.com/mlflow/mlflow/security/advisories/GHSA-2wqp-q3c6-ccj5X_REFSOURCE_CONFIRM
• github.com/mlflow/mlflow/pull/25890X_REFSOURCE_MISC
• github.com/mlflow/mlflow/commit/bac30b4148c4f40045b4d4db07ae60ab3838803fX_REFSOURCE_MISC
• github.com/mlflow/mlflow/releases/tag/v3.17.0X_REFSOURCE_MISC

Historial de la alerta

1. 23 OCT · 21:08VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.