IT-Sentinel

« BACK_TO_HOME

PUBLISHED

2025-06-23 15:15

MODIFIED

2025-06-23 20:16

CVSS_SCORE V3

5.8

EPSS (Prob. Exploit)

0.44%

Top 62.9%

DATA SOURCES:

NVD 🔗 2025-10-18 CVE PROJECT 🔗 2026-01-19 FIRST EPSS 🔗 2026-10-25 GITHUB 🔗 2026-11-11 OSV 🔗 2026-11-01

> DESCRIPTION

gateway_proxy_handler in MLflow before 3.1.0 lacks gateway_path validation.

> AFFECTED_PRODUCTS

ℹ️ Aucun produit affecté n'a encore été publié par NVD pour cette CVE.

> CVSS V3 METRICS

CVSS_VECTOR

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N

> MÉTRIQUES CVSS DÉTAILLÉES

                CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N
            

Métrique	Valeur	Interprétation
AV (Vecteur d'Attaque) Attack Vector	Network (N)	Exploit possible à distance via réseau (HTTP, API, etc.)
AC (Complexité d'Attaque) Attack Complexity	Low (L)	Peu de conditions requises pour exploiter
PR (Privilèges Requis) Privileges Required	None (N)	Aucune authentification requise
UI (Interaction Utilisateur) User Interaction	None (N)	Aucune interaction utilisateur nécessaire
S (Périmètre) Scope	Changed (C)	Impact s'étend au-delà du composant compromis
C (Impact Confidentialité) Confidentiality Impact	None (N)	Aucune divulgation d'informations
I (Impact Intégrité) Integrity Impact	Low (L)	Modification limitée des données possible
A (Impact Disponibilité) Availability Impact	None (N)	Aucune interruption de service

> RÉSUMÉ DES IMPACTS

Confidentialité

None

Aucune divulgation d'informations

Intégrité

Low

Modification limitée des données possible

Disponibilité

None

Aucune interruption de service

> GITHUB SECURITY ADVISORY

GHSA-wxj7-3fx5-pp9m MODERATE

MLFlow SSRF via gateway_proxy_handler

AFFECTED PACKAGES:

PIP / mlflow

< 2.22.2

Fixed in: 2.22.2

PIP / mlflow

>= 3.0.0rc0, < 3.1.0

Fixed in: 3.1.0

> OSV (GOOGLE OPEN SOURCE VULNERABILITIES)

AFFECTED PACKAGES:

Unknown / Unknown

15 versions affected

ALIASES:

BIT-mlflow-2025-52967, GHSA-wxj7-3fx5-pp9m, PYSEC-2025-52

> HISTORIQUE DES MODIFICATIONS

Première apparition

23/06/2025 15:15

Source: NVD

📊 ENRICHISSEMENT 18/10/2025 15:05

CVEPROJECT

Champ modifié: CVE Project

Ancienne valeur:

Non

Nouvelle valeur:

Oui

Total des modifications: 1 Dernière mise à jour: 1 year ago