Xinference 发布 v4.0.1：引入 actor 传输认证修复 CVE-2026-49950

AI 摘要

Xinference 发布 v4.0.1 补丁版本，基于 v4.0.0 回移了 actor 传输认证集成。该版本要求 Xoscar 0.12.0 及以上，引入可选的 HMAC-SHA256 actor 消息认证，以缓解 CVE-2026-49950 所描述的问题。认证默认关闭，需配置非空 XOSCAR_AUTH_KEY 才能启用，且启用或轮换密钥需要协调重启所有 actor 节点。

正文节选

# What's new in 4.0.1 (2026-10-16) This patch release is based on v4.0.0 and backports the actor transport authentication integration from [#5696](https://github.com/xorbitsai/inference/pull/5696). ## Security * Require **Xoscar 0.12.0 or later** in the Python package and CPU image dependencies. Xoscar 0.12.0 introduces opt-in HMAC-SHA256 authentication of actor messages before Python object deserialization, mitigating the issue described in [CVE-2026-49950](https://github.com/xorbitsai/xosca

发布时间：2026-10-16 19:38

抓取时间：2026-10-16 20:21

来源机构：Xorbits