Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en MLflow (CVE-2024-27132)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
23/02/2024
Última modificación:
22/01/2025

Descripción

Una sanitización insuficiente en MLflow genera XSS cuando se ejecuta una receta que no es de confianza. Este problema genera un RCE del lado del cliente cuando se ejecuta una receta que no es de confianza en Jupyter Notebook. La vulnerabilidad se debe a la falta de saneamiento de las variables de la plantilla.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:lfprojects:mlflow:*:*:*:*:*:*:*:* 2.9.2 (incluyendo)