案例 mlflow-ssrf-cve-2026-64849AI 供应链全球
MLflow SSRF 漏洞（CVE-2026-64849）遭在野利用，暴露内部服务
CISA 称 MLflow 的一个服务器端请求伪造漏洞正遭在野利用，攻击者可借此访问内部或云元数据服务并读取响应状态和正文。
高针对 AI 的攻击状态: 进行中已核实案例档案
- 报道日期
- 2026年10月14日
- 地点
- 全球
- 目标
- MLflow 机器学习平台服务器
- 严重程度
- 高
- 发起者
- 未知
- 行为者类型
- 未知
- 已报告损失
- 未报告
- CVE
- CVE-2026-64849
发生了什么
CISA 称 MLflow 的一个服务器端请求伪造漏洞正遭在野利用，攻击者可借此访问内部或云元数据服务并读取响应状态和正文。
影响: 未知；攻击者可读取来自内部和云元数据服务的响应。
谁发起了攻击
行为者: 未知
归因: CISA KEV 条目中未说明。
动机: 未知
如何发生
攻击途径: 针对 MLflow 服务器的服务器端请求伪造，以访问内部或云元数据端点。
根本原因: MLflow 中的服务器端请求伪造漏洞。
时间线
- 由 CISA KEV 报告
应对
已被加入 CISA 已知被利用漏洞（KEV）目录。
当前状态: 进行中
来源（在新标签页打开）
- CISA KEV cisa.gov
引用此案例
MLflow SSRF 漏洞（CVE-2026-64849）遭在野利用，暴露内部服务. AI Threat Watch, 案例 mlflow-ssrf-cve-2026-64849, 2026年10月14日. https://aithreat.io/zh/cases/mlflow-ssrf-cve-2026-64849/
永久链接: https://aithreat.io/zh/cases/mlflow-ssrf-cve-2026-64849/