CVE-2026-10803
NiskieCVSS 3.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W MLflow do wersji 3.10.0 wykryto wadę w funkcji mlflow.data.digest_utils, która powoduje użycie słabej funkcji skrótu. Atak jest możliwy lokalnie, ma wysoką złożoność i jest trudny do wykorzystania, ale exploit został opublikowany.
Ocena ryzyka
Ryzyko polega na możliwości manipulacji danymi lub obejścia integralności danych w systemach używających MLflow do obliczania skrótów zestawów danych.
Rekomendacja
Zaktualizuj MLflow do wersji powyżej 3.10.0, gdy tylko będzie dostępna. Monitoruj publiczne exploity i rozważ tymczasowe wyłączenie funkcji digest_utils.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in MLflow up to 3.10.0. This issue affects the function mlflow.data.digest_utils of the file mlflow/data/digest_utils.py of the component Dataset Digest Computation. This manipulation causes use of weak hash. It is possible to launch the attack on the local host. The attack is considered to have high complexity. The exploitability is assessed as difficult. The exploit has been published and may be used. The project was informed of the problem early through a pull request but has not reacted yet.