В MLflow нашли RCE с рейтингом 9,8 через десериализацию скореров

Уязвимость CVE-2026-116692 в MLflow 3.12.0rc0–3.17.0 позволяет выполнить произвольный код через десериализацию сторонних GenAI-скореров: проверка префикса модуля обходится подставным Python-файлом в артефактах эксперимента. Исправление вышло в MLflow 3.17.0, PoC опубликован.

• CVSS 9.8: RCE без аутентификации через эндпоинт /ajax-api/3.0/mlflow/scorer/invoke
• Затронуты MLflow от 3.12.0rc0 до 3.17.0, включая официальные Docker-образы
• Патч 3.17.0 заменил проверку префикса модуля на точное совпадение с allow-list
• PoC опубликован, в каталог CISA KEV уязвимость не внесена