CVE-2026-116692: RCE critica in MLflow via scorer custom

MLflow, piattaforma open source per l'engineering di agenti AI e modelli di machine learning, è affetta dalla vulnerabilità CVE-2026-116692. Il problema riguarda la deserializzazione degli scorer di terze parti in mlflow/genai/scorers/base.py, che accetta qualsiasi discendente dei moduli consentiti invece di richiedere una corrispondenza esatta, permettendo esecuzione di codice tramite l'endpoint /ajax-api/3.0/mlflow/scorer/invoke.

Secondo i dati disponibili la vulnerabilità ha un punteggio CVSS di 9,8, fascia critica. È stata pubblicata su NVD il 27 ottobre 2026 ed è stata corretta nella 3.17.0. Con autenticazione disabilitata l'esecuzione di codice non richiede credenziali; con autenticazione basic serve un principal capace di creare esperimenti e caricare artifact. In entrambi i casi il package scorer consentito deve essere scrivibile dal server. Non risultano segnalazioni di repository con exploit pubblici. Si registra minima attività social (4 post, 7 interazioni), segnale di discussione non verificato tecnicamente.

Per i team che gestiscono MLflow si raccomanda di aggiornare subito alla 3.17.0 o successiva. È importante verificare che i package scorer consentiti non siano scrivibili dal processo server, controllare le configurazioni di autenticazione attive e limitare i permessi di creazione esperimenti e upload artifact solo a principal fidati, auditando anche gli endpoint artifact esposti pubblicamente.