CVSS 9.0 以上
CVE-2026-102895
要約
GPUStack の 2.2.0 より前のバージョンでは、force_auth_localhost が false(既定値)の場合、gpustack/api/auth.py の get_current_user がループバックからのリクエストを組み込み管理者として扱っていた。同一ホストのリバースプロキシのピアや、クライアントが指定した X-GPUStack-Real-IP のループバック値を client_ip_getter が受け入れたため、リモートからのリクエストが 127.0.0.1 発に見える状態になり、認証なしの管理者アクセスが可能だった。これにより、ユーザーやモデルの変更、管理者 API キーの作成、シークレットの漏えい、コード実行が可能となり、2.1.1 の環境で悪用が確認されており、2.2.0 で修正された。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
GPUStack
判定の理由
- CVSS 9.0 以上