جزئیات آسیب‌پذیری
CVE-2026-2635
mlflow MLflow
MLflow Use of Default Password Authentication Bypass Vulnerability
CVSS 3.1
7.3بالا
شرح رسمی (انگلیسی)
MLflow Use of Default Password Authentication Bypass Vulnerability. This vulnerability allows remote attackers to bypass authentication on affected installations of MLflow. Authentication is not required to exploit this vulnerability. The specific flaw exists within the basic_auth.ini file. The file contains hard-coded default credentials. An attacker can leverage this vulnerability to bypass authentication and execute arbitrary code in the context of the administrator. Was ZDI-CAN-28256.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.3بالا | 3.1 | CVEProject cvelistV5 (CNA) (redhat-SADP) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L |
| 9.8بحرانی | 3.0 | CVEProject cvelistV5 (CNA) (zdi) | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| mlflow | MLflow | 3.4.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://www.zerodayinitiative.com/advisories/ZDI-26-111/ x_research-advisory
- https://github.com/mlflow/mlflow/pull/19260 vendor-advisory
- https://access.redhat.com/security/cve/CVE-2026-2635 vdb-entryx_refsource_REDHAT
- https://bugzilla.redhat.com/show_bug.cgi?id=2441514 issue-trackingx_refsource_REDHAT
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-2635.json x_sadp-csaf-vex
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۱۲/۰۲
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۴/۲۴
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- zdi
پیش‌بینی بهره‌برداری (EPSS)
۱٫۰۷٪
احتمال بهره‌برداری در ۳۰ روز
۶۵٫۱٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-1393Use of Default Password
- CWE-798Use of Hard-coded Credentials