openml/openml.orgのWebアプリケーション（バージョン v2.0.20241110）は、ユーザーのサインアップ確認、パスワードリセット、メール確認の再送、メール変更の確認といった重要なワークフローにおいて、予測可能なMD5ベースのトークンを使用しています。これらのトークンは、現時点のタイムスタンプを「%d %H:%M:%S」という形式でハッシュ化することで生成されており、ユーザー固有のデータや暗号学的なランダム性が一切組み込まれていません。この予測可能性により、リモート攻撃者は短時間のうちに有効なトークンをブルートフォースで特定し、アカウントの不正な確認、パスワードリセット、およびメール変更の承認を行うことで、アカウントを乗っ取る可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。