GPUStack 2.1.1 認證繞過漏洞被列入 CISA 已知利用目錄

2026 年 11 月 10 日，一名開發者在 DEV Community 發文稱，在 GPUStack 2.1.1 上僅憑偽造一個請求頭 X-GPUStack-Real-IP: 127.0.0.1 即可繞過認證，獲得管理員許可權，並稱該漏洞存在於 GPUStack 2.1.1 的 12 行程式碼中，他已在本地完整復現了繞過、持久化與修復的全過程，其核心問題是把一個遠端未認證請求直接變成了管理員許可權。

文章披露，攻擊者曾對一個真實的 2.1.1 部署利用此漏洞，CISA 已於 2026 年 11 月 9 日將其列入已知被利用漏洞（Known Exploited Vulnerabilities）目錄，併為聯邦機構設定了 2026 年 11 月 12 日的修補截止期限。目前披露的資訊僅來自這一篇開發者自述報道，材料未給出補丁釋出狀態或官方修復版本的說明。