严重CVSS9.82026-11-10
CVE-2026-102895 — GPUStack 让未认证攻击者冒充管理员：解析与对策（CVSS 9.8，已在 2.2.0 修复，已被利用）
GPUStack 是用于提供 AI 模型服务的 GPU 集群管理器，其漏洞影响 pip gpustack 2.2.0 之前的版本，CVSS 9.8。据公告，其设计把请求的网络来源当作身份证明，因此在同一主机的反向代理之后，未认证的请求会被当作管理员。公告报告了针对 v2.1.1 部署的利用，CISA 于11月9日把它列入 KEV（期限11月12日）。已在 2.2.0 修复。本站的观点：仅更新并不够；还要审计管理员 API 密钥，并撤销、重新签发 worker 和云端凭据。