КритическаяCVSS9.82026-11-10
CVE-2026-102895 — GPUStack позволяет неаутентифицированному атакующему действовать как администратор: разбор и исправление (CVSS 9.8, исправлено в 2.2.0, эксплуатируется)
Уязвимость в GPUStack — менеджере GPU-кластеров для обслуживания ИИ-моделей (pip gpustack до 2.2.0), CVSS 9.8. Согласно бюллетеню, в основе лежит решение, при котором сетевой источник запроса считается доказательством личности, поэтому за обратным прокси на том же хосте неаутентифицированный запрос трактуется как запрос администратора. Бюллетень сообщает об эксплуатации против развёртывания v2.1.1, а CISA добавила её в KEV 9 ноября (срок — 12 ноября). Исправлено в 2.2.0. Мнение этого сайта: одного обновления недостаточно; проведите аудит ключей API администратора, отзовите и выпустите заново учётные данные воркеров и облака.