MLflow 的 CVE-2026-64849 漏洞暴露了一个关键安全缺陷，原因是其 webhook 端点缺少身份验证检查。这允许未认证请求触发服务器端请求伪造（SSRF），NVD 评分为 9.3。该缺陷使攻击者能够迫使 MLflow 服务器获取任意 URL，并绕过常见的缓解措施（如白名单），因为存在重定向和 DNS 重绑定能力。其深远影响源于 MLflow 作为中央枢纽的角色，存储着数据库、工件存储库和模型注册表等敏感凭证。攻击者可利用此 SSRF 访问云元数据端点、内部 Kubernetes API、管理型工件存储以及容器网络端口。关键在于，攻击者仅需一个 GET 请求即可泄露令牌或签名 URL，而无需完整的 shell。一个相关的漏洞（尽管不依赖此 CVE）涉及 MLflow 的模型网关配置，该配置存储 API 密钥。如果攻击者能够写入网关配置，这些提供商密钥即可在不借助 SSRF 的情况下被泄露。这两个问题共同表明，MLflow 既存储秘密信息，又代表可能未认证的用户发起出站调用。除了升级到 3.15.0 版本外，组织还必须实施强化的出站策略，以限制 MLflow 的出站网络访问。加固元数据访问并定期轮换服务凭证也是降低风险的关键步骤。对网关配置进行审计，检查可疑的 api_key 引用和 api_base 值至关重要。最后，MLflow 追踪服务器作为内部工具，应置于单点登录解决方案之后，不得公开暴露。MLflow 实例的广泛暴露表明，许多团队忽视了内部工具公开访问所带来的关键凭证风险。