CríticoCVSS9.82026-11-10
CVE-2026-102895 — o GPUStack permite que invasores não autenticados ajam como administrador: explicação e correção (CVSS 9.8, corrigido na 2.2.0, explorado)
Falha no GPUStack, um gerenciador de clusters de GPU para servir modelos de IA (pip gpustack anterior à 2.2.0), CVSS 9,8. Segundo o aviso, o design confia na origem de rede de uma requisição como prova de identidade, então atrás de um proxy reverso no mesmo host uma requisição não autenticada é tratada como o administrador. O aviso relata exploração contra uma implantação v2.1.1, e a CISA o incluiu no KEV em 9 de novembro (prazo: 12 de novembro). Corrigido na 2.2.0. A visão deste site: atualizar não basta; audite as chaves de API de administrador e revogue e reemita as credenciais de workers e da nuvem.