2.12.1之前的 mlflow/mlflow 版本中有一個損毀的存取控制弱點在該版本中對實驗只有 EDIT 權限的低權限使用者可以刪除任何成品。此問題是因為缺少適當驗證具有 EDIT 權限的使用者所提出之 DELETE 要求所導致其可允許其執行未經授權的成品刪除作業。該弱點會特別影響應用程式內成品刪除的處理低權限使用者能夠使用 DELETE 要求刪除成品內的目錄即為一例儘管官方文件指出具有 EDIT 權限的使用者只能讀取和更新成品，而不是將其刪除。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

MLFlow < 2.12.1 檔案刪除

medium Nessus Plugin ID 207347

版本 1.3