CVE-2026-102895 in GPUStack
Zusammenfassung
von VulDB • 04.11.2026
GPUStack ist ein Open-Source-GPU-Clustermanager für das Serving von KI-Modellen und die Bereitstellung von GPU-Instanzen. Vor Version 2.2.0 behandelte `get_current_user` in `gpustack/api/auth.py` eine Loopback-Anfragequelle als den integrierten Administrator, wenn `force_auth_localhost` falsch war (was der Standardwert war). Eine Remote-Anfrage konnte so tun, als stamme sie von 127.0.0.1, da `client_ip_getter` einen Reverse-Proxy-Peer mit derselben Hostadresse oder einen vom Client bereitgestellten Loopback-Wert im Header `X-GPUStack-Real-IP` akzeptierte. Diese Umgehung ermöglichte nicht authentifizierten administrativen Zugriff, einschließlich Änderungen an Benutzern und Modellen, der dauerhaften Erstellung von Administrator-API-Schlüsseln, der Offenlegung von Secrets für Worker und Cloud-Anbieter sowie der Code-Ausführung über `POST /v2/inference-backends/from-yaml`. Die Ausnutzung (Exploitation) wurde in freier Wildbahn gegen eine Deployment-Version 2.1.1 beobachtet. Dieses Problem ist in Version 2.2.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.