Vulnerabilidad en mlflow/mlflow de mlflow (CVE-2026-2734)

En las versiones de mlflow/mlflow hasta la 3.9.0, el endpoint de la API REST 'SearchModelVersions' y la consulta GraphQL 'mlflowSearchModelVersions' carecen de comprobaciones de autorización por modelo adecuadas cuando la autenticación básica está habilitada. Esto permite a cualquier usuario autenticado enumerar todas las versiones de modelos en todos los modelos registrados, independientemente de su nivel de permiso. El problema surge debido a la ausencia de 'SearchModelVersions' en los 'BEFORE_REQUEST_VALIDATORS' y 'AFTER_REQUEST_HANDLERS' para la API REST, y su omisión de 'GraphQLAuthorizationMiddleware.PROTECTED_FIELDS' para GraphQL. Esta vulnerabilidad puede exponer información sensible como nombres de modelos, descripciones de versiones, URIs de origen, etiquetas y otros metadatos, revelando potencialmente detalles propietarios o confidenciales en entornos multi-inquilino. El problema se resuelve en la versión 3.10.0.