CVE-2026-102895

Nome do Software Vulnerável e Versões Afetadas GPUStack versões anteriores a 2.2.0

Description Existe uma falha de bypass de autenticação onde a função get current user() em gpustack/api/auth.py trata incorretamente fontes de requisição de loopback como o administrador integrado quando force auth localhost está definido como false. Isso ocorre porque a função client ip getter pode aceitar um peer de proxy reverso no mesmo host ou um valor de loopback X-GPUStack-Real-IP fornecido pelo cliente, fazendo com que requisições remotas pareçam originar-se de 127.0.0.1. Esta falha permite acesso administrativo não autenticado, possibilitando alterações não autorizadas de usuários e modelos, a criação de chaves de API de administrador persistentes e a divulgação de segredos de workers e provedores de nuvem. Além disso, permite a execução remota de código através do endpoint 'POST /v2/inference-backends/from-yaml'. A exploração deste problema foi observada em ambiente real contra uma implantação da versão 2.1.1.

Recommendations Atualizar para a versão 2.2.0.