CVE-2026-4035: Wykradanie danych uwierzytelniających serwera w MLflow

Podsumowanie

Parametr	Wartość
CVE ID	CVE-2026-4035
Źródło alertu	GitHub Advisory - Krytyczna podatność
Rok publikacji CVE	2026
Data publikacji	2026-06-03
Producent	MLflow
Produkt	MLflow
CVSS Score	9.1 (Krytyczny)
EPSS Score	Brak danych
CISA KEV	Nie
Ransomware	Nie potwierdzono

Opis podatności

Źródło: NVD

Podatność w mlflow/mlflow w wersjach starszych niż 3.11.0 umożliwia rozwijanie (resolution) zmiennych środowiskowych w sekretach AI Gateway, co może zostać wykorzystane do wykradzenia wrażliwych danych uwierzytelniających ze środowiska serwera do endpointu kontrolowanego przez atakującego. Problem wynika z faktu, że pole api_key w sekretach bramy (gateway secrets) może akceptować referencje $ENV_VAR, które są rozwijane względem środowiska serwera MLflow w czasie działania (runtime). Rozwinięte sekrety są następnie wysyłane w nagłówkach uwierzytelniających dostawcy do…

Wymagane działania

Zastosuj poprawki lub środki zaradcze producenta tak szybko, jak będą dostępne.

Kogo dotyczy?

Podatność dotyczy produktu MLflow firmy MLflow. Sprawdź czy Twoja organizacja używa tego oprogramowania i czy wymaga aktualizacji.

Źródła

• NVD - CVE-2026-4035

• FIRST EPSS

---

Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.