升级了就不安全？Xinference 的补丁可能是假药

你刚升完 Xinference 的版本，就放心了？CVE-2026-49950 不会这么想。补丁本身能挡掉一部分攻击，但如果你只盯着 changelog、不去看模型缓存目录和 API 权限配置，等于换了锁芯却忘了门没关严。这篇文章的判断够直接：升级不是终点，是起点。作者一层层拆开了升级后依然敞着的口子——从本地模型文件到推理接口的默认暴露面，装了最新版照样能被利用。安全从来不是点一下按钮的事，你得搞清楚自己跑的东西到底往外面漏了什么。

原文：CVE-2026-49950 and Why Upgrading Xinference Isn't Enough · 来源：Hacker News