CVE-2026-102895 in GPUStack
Riassunto
di VulDB • 05/11/2026
GPUStack è un gestore di cluster GPU open-source per il servizio di modelli AI e la provisioning di istanze GPU. Prima della versione 2.2.0, la funzione `get_current_user` in `gpustack/api/auth.py` trattava una richiesta proveniente da loopback come amministratore integrato quando `force_auth_localhost` era impostato su false (il valore predefinito). Una richiesta remota poteva apparire come originata dall'indirizzo 127.0.0.1 poiché il parametro `client_ip_getter` accettava un peer di reverse proxy sullo stesso host o un valore loopback fornito dal client per l'intestazione X-GPUStack-Real-IP. Questa bypass ha consentito l'accesso amministrativo non autenticato, incluse modifiche a utenti e modelli, creazione persistente di API-key per amministratori, divulgazione di segreti relativi ai worker e ai provider cloud, ed esecuzione di codice tramite POST /v2/inference-backends/from-yaml. L'esecuzione dell'exploit è stata osservata in natura contro un deployment della versione 2.1.1. Questo problema è stato risolto nella versione 2.2.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.