CVE-2026-10803
Publiée le 2026-06-04 · Dernière modification le 2026-07-22
Les versions de MLflow allant jusqu'à la 3.10.0 utilisent un algorithme de hachage faible pour le calcul des empreintes (digests) des jeux de données, ce qui pourrait permettre à un utilisateur local de manipuler l'intégrité des données. Comme cela nécessite un accès local authentifié et est techniquement complexe à exécuter, le risque pour la plupart des installations est très faible. Aucun accès réseau ni interaction de l'utilisateur n'est requis, mais l'exploitation est difficile à réaliser en pratique.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw has been found in MLflow up to 3.10.0. This issue affects the function mlflow.data.digest_utils of the file mlflow/data/digest_utils.py of the component Dataset Digest Computation. This manipulation causes use of weak hash. It is possible to launch the attack on the local host. The attack is considered to have high complexity. The exploitability is assessed as difficult. The exploit has been published and may be used. The project was informed of the problem early through a pull request but has not reacted yet.