CVE-2026-102895 — GPUStack — Corregido en 2.2.0

GPUStack es un gestor de clústeres de GPU de código abierto para el despliegue de modelos de IA y el aprovisionamiento de instancias de GPU. Antes de la versión 2.2.0, get_current_user en gpustack/api/auth.py trataba un origen de solicitud loopback como el administrador integrado cuando force_auth_localhost era false, que era el valor predeterminado. Una solicitud remota podía parecer originada desde 127.0.0.1, porque client_ip_getter aceptaba un par proxy inverso del mismo host o un valor loopback de X-GPUStack-Real-IP proporcionado por el cliente. La omisión permitía el acceso administrativo sin autenticación, incluidos cambios de usuarios y modelos, la creación persistente de claves API de administrador, la divulgación de secretos de workers y de proveedores de nube, y la ejecución de código mediante POST /v2/inference-backends/from-yaml. Se observó explotación en entornos reales contra un despliegue de la versión 2.1.1. Este problema está corregido en la versión 2.2.0.