CVE-2026-110809

SGLang do wersji 0.5.21 ufa wartościom mm_hashes dostarczonym przez wywołującego jako kluczowi multimodalnego cache prefiksu, co pozwala zdalnym atakującym zatruć wpisy KV w pamięci podręcznej między żądaniami. Atakujący może wysłać inny obraz pod znanym lub przewidywalnym hashem przez /generate, aby ujawnić treść obrazu z innego żądania lub uszkodzić odpowiedzi ofiar.

SGLang w wersjach od 0.5.10 do 0.5.22 zawiera podatność na wstrzyknięcie kodu w funkcji _evaluate_filter(), która pozwala zdalnym atakującym na wykonanie kodu Pythona poprzez ucieczkę z piaskownicy eval() przez re.search __globals__. Atakujący może wysłać spreparowane wyrażenie filtra do nieuwierzytelnionego punktu końcowego /dumper/configure, gdy ustawiono DUMPER_SERVER_PORT, uruchamiając kod w procesie schedulera przy następnym przebiegu forward.

SGLang do wersji 0.5.21 zawiera podatność nieograniczonej alokacji pamięci w funkcji preprocess_video w pliku qwen_vl.py, która dekoduje klatki w pełnej rozdzielczości źródłowej przed zastosowaniem limitu max_pixels. Zdalni atakujący mogą przesyłać wysokorozdzielcze wideo do /v1/chat/completions w instalacjach Qwen-VL, a równoczesne żądania wyczerpują pamięć procesu roboczego powodując odmowę usługi.

SGLang do wersji 0.5.20 w trybie prefill/decode disaggregation nie waliduje zduplikowanych pól bootstrap_room w żądaniach /generate z backendem transferu Mooncake KV. Nieuwierzytelnieni atakujący mogą wysyłać równoczesne żądania z identycznymi wartościami bootstrap_room, co może spowodować awarię procesów schedulera lub zawieszenie żądań innych użytkowników do czasu timeoutu transferu.

SGLang zawiera podatność umożliwiającą zdalne wykonanie kodu, spowodowaną bezwarunkową deserializacją ładunków PickleWrapper przez dekoder wiadomości ZMQ za pomocą pickle.loads() w funkcji _maybe_unwrap_pickle, bez listy dozwolonych typów ani uwierzytelniania. Podatność utrzymuje się również na ścieżce msgpack nawet przy wyłączonym SGLANG_USE_PICKLE_IPC i staje się zdalnie wykorzystywalna, gdy włączona jest uwaga równoległa danych z ustawieniem --dist-init-addr innym niż loopback.

Środowisko uruchomieniowe generowania multimodalnego SGLang jest podatne na nieuwierzytelnione wykonanie dowolnego kodu, ponieważ orchestrator disaggregated-diffusion wiąże nieuwierzytelniony gniazdo ZeroMQ ROUTER z interfejsem sieciowym i przekazuje ostatnią ramkę odebranych wiadomości wieloczęściowych bezpośrednio do pickle.loads() przed jakąkolwiek walidacją.

SGLang pozwala na nieuwierzytelnioną deserializację pickle poprzez /update_weights_from_tensor, gdy nie skonfigurowano kluczy uwierzytelniających, a politykę SafeUnpickler można obejść, ponieważ builtins.import i builtins.getattr są rozwiązywalne, co umożliwia wykonanie kodu poprzez pickle REDUCE.

SGLang zawiera podatność zdalnego wykonania kodu (RCE) podczas próby załadowania wag modelu z repozytorium HuggingFace. W punkcie końcowym /update_weights_from_disk funkcja torch.load z parametrem weights_only=False umożliwia deserializację pickle plików .bin.

SGLang zawiera podatność zdalnego wykonania kodu (RCE) w opcjonalnym podsystemie dumper. Gdy zmienna DUMPER_SERVER_PORT jest ustawiona, możliwa jest ucieczka z piaskownicy, co umożliwia wykonanie kodu na żądaniach inferencyjnych.

SGLang zawiera podatność zdalnego wykonania kodu (RCE) bez uwierzytelniania w punkcie końcowym /load_lora_adapter_from_tensors. Podatność wynika z obejścia niekompletnej listy blokad SafeUnpicklera, co umożliwia wykonanie dowolnych poleceń poprzez spreparowane ładunki pickle zakodowane w base64.