GPUStack 2.1.1 认证绕过漏洞被列入 CISA 已知利用目录

2026 年 11 月 10 日，一名开发者在 DEV Community 发文称，在 GPUStack 2.1.1 上仅凭伪造一个请求头 X-GPUStack-Real-IP: 127.0.0.1 即可绕过认证，获得管理员权限，并称该漏洞存在于 GPUStack 2.1.1 的 12 行代码中，他已在本地完整复现了绕过、持久化与修复的全过程，其核心问题是把一个远程未认证请求直接变成了管理员权限。

文章披露，攻击者曾对一个真实的 2.1.1 部署利用此漏洞，CISA 已于 2026 年 11 月 9 日将其列入已知被利用漏洞（Known Exploited Vulnerabilities）目录，并为联邦机构设定了 2026 年 11 月 12 日的修补截止期限。目前披露的信息仅来自这一篇开发者自述报道，材料未给出补丁发布状态或官方修复版本的说明。