2023年12月29日，网上公开披露了一个Mlflow Jinja2 模版注入漏洞，MLflow 是用于机器学习全生命周期管理的开源工具。请各位用户尽快安装漏洞补丁。
漏洞风险：MLflow受影响版本中存在模版注入漏洞。在render_and_merge_yaml方法中，该函数用于渲染和合并基于Jinja2模板的YAML文件，其中使用的jinja2.Environment函数允许执行任意代码，包括系统命令。由于加载模板时未对输入进行适当的验证和过滤，攻击者可通过加载恶意的YAML文件，在远程主机执行任意代码。
风险等级：高风险。
影响范围： mlflow@(-∞, 2.9.2)
修复建议：基将组件 mlflow 升级至 2.9.2 及以上版本
进行安全更新方法:
https://github.com/mlflow/mlflow/commit/5139b1087d686fa52e2b087e09da66aff86297b1
