Falla de autenticación en GPUStack

Qué pasó

GPUStack contiene una falla de autenticación inadecuada que podría permitir acceso administrativo no autenticado, incluyos cambios de usuario y modelo, creación persistente de API-key de administrador, divulgación de secretos de proveedor de nube y worker, y ejecución de código a través de POST /v2/inference-backends/from-yaml.

Texto original: GPUStack contains an improper authentication vulnerability which could allow unauthenticated administrative access, including user and model changes, persistent administrator API-key creation, disclosure of worker and cloud-provider secrets, and code execution through POST /v2/inference-backends/from-yaml.

Qué hacer

Instala la corrección que publicó GPUStack. Si aún no existe, aplica sus medidas temporales o deja de usar el producto. La fecha límite que CISA dio a las agencias de EE. UU. venció el 12 de noviembre de 2026: si aún no lo corriges, hazlo cuanto antes.

Datos

Gravedad

Alta

Tipo

Vulnerabilidad

Identificador

CVE-2026-102895

Probabilidad de ataque

0.5 % en los próximos 30 días (EPSS, FIRST.org)

Fecha límite de CISA

12 de noviembre de 2026 (para agencias de EE. UU.)

Publicada por la fuente

9 de noviembre de 2026

Vista por primera vez

13 de noviembre de 2026 a las 11:49 a.m. (hora de México)

Etiquetas

GPUStack

Fuente

CISA Known Exploited Vulnerabilities · Dominio público (EE. UU.)