https://alertas.dupin.com.ar/fabricante/gpustack/Alertas de vulnerabilidades de gpustack.esMon, 09 Nov 2026 12:00:00 +000010https://alertas.dupin.com.ar/cve/CVE-2026-102895/kev:CVE-2026-102895Mon, 09 Nov 2026 12:00:00 +0000Explotada activamenteget_current_user en gpustack/api/auth.py trataba una solicitud de origen loopback como el administrador integrado cuando force_auth_localhost era false (valor por defecto). Una solicitud remota podía parecer originada en 127.0.0.1 porque client_ip_getter aceptaba un proxy inverso del mismo host o un valor loopback en el encabezado X-GPUStack-Real-IP enviado por el cliente. Permitía acceso administrativo sin autenticación, incluida la ejecución de código mediante POST /v2/inference-backends/from-yaml. Se corrige…https://alertas.dupin.com.ar/cve/CVE-2026-102894/tg:63358Wed, 04 Nov 2026 22:13:56 +0000VulnerabilidadEl endpoint /auth/saml/callback de GPUStack decodifica el XML SAML y emite un JWT sin verificar la firma, el emisor, la audiencia, el destino ni las condiciones de tiempo. Cualquier cliente de red podría suplantar a un usuario existente, incluido un administrador, o crear una cuenta nueva, incluso sin SAML configurado, y las respuestas firmadas capturadas podrían reutilizarse. Se corrige en la versión 2.2.2.https://alertas.dupin.com.ar/cve/CVE-2026-103002/tg:63347Wed, 04 Nov 2026 22:13:42 +0000Vulnerabilidadcluster_apiserver_proxy de GPUStack reenvía solicitudes de usuarios autenticados no administradores a un clúster de Kubernetes sin verificar la autorización a nivel de recurso, usando las credenciales del ServiceAccount de un worker alcanzable. El atacante podría leer recursos sensibles, crear o modificar cargas de trabajo o eliminarlas, y cargas controladas por el atacante podrían derivar en ejecución de código en el clúster. Afecta a las versiones 2.2.0 a 2.2.2 y se corrige en la 2.2.2.