CVE-2026-102895 : vulnérabilité d'authentification inappropriée dans GPUStack

Le dossier CVE, tel que listé sur ThreatInt, évalue CVE-2026-102895 à CRITIQUE : 9.8[2]. Il indique que le dossier a été publié le 2026-11-04[2].Selon la description du CVE reproduite par VulDB, avant la version 2.2.0, le code d'authentification de GPUStack traitait une source de requête loopback comme l'administrateur intégré lorsque force_auth_localhost était faux, ce qui était la valeur par défaut[3].La base de données des avis GitLab indique que lorsque GPUStack s'exécute derrière un proxy inverse sur le même hôte, chaque requête distante arrive à GPUStack avec la pair TCP 127.0.0.1, ce qui déclenche la branche loopback auto-admin[4]. Elle indique également que un en-tête X-GPUStack-Real-IP : 127.0.0.1 falsifié peut faire que la source de la requête soit traitée comme loopback[4].Le dossier CVE indique que le contournement a permis la création persistante de clés API administrateur, la divulgation des secrets des workers et des fournisseurs de cloud, et l'exécution de code[2]. Il ajoute que l'exploitation a été observée activement contre un déploiement de version 2.1.1[2].Selon SecurityOnline, le chercheur Javier Sixto d'ulex.fr a signalé des attaques actives en cours[1].Ostorlab rapporte que GPUStack 2.2.0 est publié avec le correctif[5] le 18 juin 2026. Il indique que la mise à jour ferme le contournement mais laisse les utilisateurs et clés API existants en place[5], et conseille aux utilisateurs de révoquer les clés administrateur inconnues et de faire tourner les credentials des workers et du cloud[5].Ostorlab a indiqué que la faille n'était pas dans le catalogue CISA des vulnérabilités exploitées connues au 5 novembre 2026[5]. Une alerte GitHub automatisée ultérieure l'indique comme étant dans CISA KEV : Oui[6], avec une date d'exigence de correction KEV : 2026-11-12[6].