Notícia · Shimmy (Michael-A-Kuykendall) · 2 min de leitura
Data do fato: · Publicado:
Falha de autenticação é revelada na API de inferência do Shimmy
Um aviso de segurança do GitHub revelou que o Shimmy, um servidor leve de inferência local de LLM, permitia consultar sua API de inferência pela rede sem autenticação.
Em 10 de novembro de 2026, o GitHub Security Advisories publicou o aviso de segurança GHSA-h7qf-5c8w-fgjc, informando que o Shimmy, um servidor leve de inferência local de LLM divulgado como alternativa ao Ollama, permitia consultar sua API de inferência pela rede sem autenticação.
O que mudou
- Publicado como GHSA-h7qf-5c8w-fgjc em 10 de novembro de 2026, e registrado como CVE-2026-125087, classificado sob CWE-287 (autenticação inadequada).
- Afeta as versões do Shimmy até a 2.6.4 inclusive; corrigido na versão 2.6.5.
- O componente vulnerável é a API de inferência dentro de
src/server.rs. - A API pode ser chamada pela rede sem autenticação, sem exigir privilégios ou interação do usuário.
- A pontuação CVSS v4.0 aparece como 5.5, com maturidade de exploração marcada como proof-of-concept.
O que isso significa para quem constrói com IA
O Shimmy é usado por desenvolvedores para hospedar, localmente ou on-premise, seu próprio servidor de inferência compatível com a API da OpenAI, em boa parte porque seu binário único em Rust tem cerca de 5 MB, contra os aproximadamente 680 MB do Ollama. Uma API de inferência sem autenticação significa que qualquer agente presente na mesma rede pode consultá-la sem credenciais, o que pode aumentar custos de computação ou servir como ponto de partida para avançar ainda mais no sistema. O GitHub enquadra esse aviso em um padrão recente de ferramentas de IA rápidas, mas expostas por padrão, que também inclui avisos sobre GPUStack, Langflow e NocoBase.
Correção e disponibilidade
A correção chega na versão 2.6.5 do Shimmy; quem estiver na versão 2.6.4 ou anterior deve atualizar. O projeto é mantido no repositório github.com/Michael-A-Kuykendall/shimmy, onde a API de inferência em src/server.rs é o componente que o aviso do GitHub identifica como vulnerável.
Fontes
- Shimmy Inference API Missing Authentication (GHSA-h7qf-5c8w-fgjc) (GitHub Security Advisories, 10 de novembro de 2026, oficial)
Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.