CVE-2026-102894
Açıklama
GPUStack, AI model sunumu ve GPU örneği tedariği için açık kaynaklı bir GPU küme yöneticisidir. 0.7.1 ile 2.2.2 sürümleri arasında, /auth/saml/callback uç noktası SAML XML'ini çözmüş, bir kullanıcıyı belirlemek veya tedarik etmek için NameID ve özniteliklerini kullanmış ve imzayı, yayıncıyı, hedef kitleyi, varış noktasını veya zaman koşullarını doğrulamak için OneLogin_Saml2_Auth.process_response fonksiyonunu çağırmadan bir gpustack_session JWT oluşturmuştur. Herhangi bir ağ istemcisi, SAML yapılandırılmamış olsa bile, yönetici dahil mevcut bir kullanıcı için kimlik sunabilir veya yeni bir yönetici olmayan hesap tedarik edebilirdi. Yanıt ve Assertion tanımlayıcıları tüketilmediğinden, yakalanan imzalı yanıtlar yeniden oynatılabiliyordu. Bu sorun 2.2.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gpustack gpustack | >= 0.7.1, < 2.2.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.