GitHub 安全公告库 (GHSA)·2026-10-20 08:31· 4 天前精选AI 评分60

MLflow 3.17.1 及更早版本 FileStore 存在路径穿越与任意文件写入漏洞

MLflow FileStore trace IDs allow path traversal and arbitrary file writes

AI 导读

GitHub 安全公告指出，MLflow 3.17.1 及更早版本的 FileStore 跟踪后端存在路径穿越漏洞，无需认证的攻击者向 POST /api/3.0/mlflow/traces 提交含穿越序列的 trace ID。

为什么值得看

通告说明 FileStore 在 3.7.0 前是默认后端，早期版本部署无需额外配置即受影响。