2.12.1之前的 mlflow/mlflow 版本中存在一个中断访问控制漏洞其中对实验仅具有 EDIT 权限的低权限用户可删除任何项目。出现此问题的原因是缺少对具有 EDIT 权限的用户发出的 DELETE 请求进行适当的验证从而执行未经授权的项目删除。该漏洞具体会影响到应用程序内对构件内删除的处理低权限用户能够使用 DELETE 请求删除构件内的目录即为一例尽管官方文档声明具有 EDIT 权限的用户只能读取和更新构件而不是删除它们。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

MLFlow < 2.12.1 文件删除

medium Nessus 插件 ID 207347

版本 1.3