Vulnerabilidad en MLflow (CVE-2024-27132)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-79
Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
23/02/2024
Última modificación:
22/01/2025
Descripción
Una sanitización insuficiente en MLflow genera XSS cuando se ejecuta una receta que no es de confianza. Este problema genera un RCE del lado del cliente cuando se ejecuta una receta que no es de confianza en Jupyter Notebook. La vulnerabilidad se debe a la falta de saneamiento de las variables de la plantilla.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:lfprojects:mlflow:*:*:*:*:*:*:*:* | 2.9.2 (incluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página