最新バージョンの mlflow/mlflow において、`basic-auth` アプリが有効になっている場合、トレーシングおよびアセスメントエンドポイントが権限検証で保護されていません。これにより、実験に対して `NO_PERMISSIONS` を持つユーザーを含むあらゆる認証済みユーザーが、アクセス権のないトレース情報を読み取り、トレースに対するアセスメントを作成できてしまいます。この脆弱性はトレースのメタデータを漏洩させ、機密性に影響を与えるとともに、不正なアセスメント作成により完全性も損ないます。`mlflow server --app-name=basic-auth` を使用したデプロイメントが影響を受けます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。