PT-2026-137174
CVE-2026-102895
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
GPUStack الإصدارات السابقة لـ 2.2.0
Description
يوجد تجاوز للمصادقة حيث تقوم الدالة
get current user() في gpustack/api/auth.py بمعاملة مصادر طلبات loopback بشكل خاطئ كمسؤول مدمج عندما تكون قيمة force auth localhost هي false. يحدث هذا لأن الدالة client ip getter قد تقبل peer لبروكسي عكسي على نفس المضيف أو قيمة loopback في X-GPUStack-Real-IP مقدمة من العميل، مما يجعل الطلبات عن بُعد تبدو وكأنها صادرة من 127.0.0.1. يسمح هذا الخلل بالوصول الإداري غير المصرح به، بما في ذلك تغييرات المستخدمين والنماذج، وإنشاء مفاتيح API إدارية دائمة، والكشف عن أسرار العاملين ومزودي السحابة. بالإضافة إلى ذلك، فإنه يسمح بتنفيذ التعليمات البرمجية عن بُعد عبر endpoint 'POST /v2/inference-backends/from-yaml'. تم رصد استغلال لهذه الثغرة في بيئات عمل حقيقية ضد إصدار 2.1.1.Recommendations
التحديث إلى الإصدار 2.2.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾