Noticia · Shimmy (Michael-A-Kuykendall) · 2 min de lectura
Fecha del hecho: · Publicado:
Se revela una falla de autenticación en la API de inferencia de Shimmy
Un aviso de seguridad de GitHub reveló que Shimmy, un servidor liviano de inferencia local de LLM, permitía consultar su API de inferencia por red sin autenticación.
El 10 de noviembre de 2026, GitHub Security Advisories publicó el aviso de seguridad GHSA-h7qf-5c8w-fgjc, informando que Shimmy, un servidor liviano de inferencia local de LLM comercializado como alternativa a Ollama, permitía consultar su API de inferencia por red sin autenticación.
Qué cambió
- Publicado como GHSA-h7qf-5c8w-fgjc el 10 de noviembre de 2026, y registrado como CVE-2026-125087, clasificado bajo CWE-287 (autenticación incorrecta).
- Afecta a las versiones de Shimmy hasta la 2.6.4 inclusive; corregido en la versión 2.6.5.
- El componente vulnerable es la API de inferencia dentro de
src/server.rs. - La API puede invocarse por red sin autenticación, sin privilegios ni interacción del usuario.
- El puntaje CVSS v4.0 figura como 5.5, con madurez de exploit marcada como proof-of-concept.
Qué significa para quienes construyen con IA
Shimmy lo usan desarrolladores para alojar su propio servidor de inferencia compatible con la API de OpenAI, de forma local o on-premise, en buena parte porque su binario único en Rust pesa unos 5 MB frente a los aproximadamente 680 MB de Ollama. Que la API de inferencia quede sin autenticación significa que cualquier actor con acceso a la misma red puede consultarla sin credenciales, lo que podría elevar el costo de cómputo o servir como punto de apoyo para avanzar más dentro del sistema. GitHub ubica este aviso dentro de un patrón reciente de herramientas de IA rápidas pero expuestas por defecto, que también incluye avisos sobre GPUStack, Langflow y NocoBase.
Corrección y disponibilidad
La corrección llega con la versión 2.6.5 de Shimmy; quienes usen la versión 2.6.4 o anterior deberían actualizar. El proyecto se mantiene en el repositorio github.com/Michael-A-Kuykendall/shimmy, donde la API de inferencia en src/server.rs es el componente que el aviso de GitHub identifica como vulnerable.
Fuentes
- Shimmy Inference API Missing Authentication (GHSA-h7qf-5c8w-fgjc) (GitHub Security Advisories, 10 de noviembre de 2026, oficial)
Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.