CVE-2026-112083
ŚrednieCVSS 5.3Streszczenie
Luka w sgl-project SGLang do wersji 0.5.19 dotyczy funkcji WeightExporter.send_weights_to_remote_instance w pliku python/sglang/srt/model_executor/model_runner_components/weight_exporter.py komponentu Weight Exporter. Manipulacja argumentem group_name prowadzi do odmowy usługi, a atak można zainicjować zdalnie. Exploit został publicznie ujawniony, a pull request z poprawką oczekuje na akceptację.
Ocena ryzyka
Zdalny atakujący może wywołać odmowę usługi, zakłócając działanie usług opartych na SGLang. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Śledź pull request z poprawką i wdróż ją po zaakceptowaniu lub ogranicz dostęp sieciowy do usług SGLang do zaufanych źródeł.
Inne podatności w SGLang
Zobacz wszystkie- CVE-2026-112082Wysokie
W sgl-project SGLang do wersji 0.5.19 zidentyfikowano podatność w funkcji Scheduler.expert_distribution_handle w pliku python/sglang/srt/eplb/expert_distribution.py komponentu Expert-Distribution Recording Endpoint. Manipulacja prowadzi do denial of service. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystany.
- CVE-2026-111392Średnie
SGLang do wersji 0.5.21 ufa wartościom mm_hashes dostarczonym przez wywołującego jako kluczowi multimodalnego cache prefiksu, co pozwala zdalnym atakującym zatruć wpisy KV w pamięci podręcznej między żądaniami. Atakujący może wysłać inny obraz pod znanym lub przewidywalnym hashem przez /generate, aby ujawnić treść obrazu z innego żądania lub uszkodzić odpowiedzi ofiar.
- CVE-2026-111391Wysokie
SGLang w wersjach od 0.5.10 do 0.5.22 zawiera podatność na wstrzyknięcie kodu w funkcji _evaluate_filter(), która pozwala zdalnym atakującym na wykonanie kodu Pythona poprzez ucieczkę z piaskownicy eval() przez re.search __globals__. Atakujący może wysłać spreparowane wyrażenie filtra do nieuwierzytelnionego punktu końcowego /dumper/configure, gdy ustawiono DUMPER_SERVER_PORT, uruchamiając kod w procesie schedulera przy następnym przebiegu forward.
- CVE-2026-102634Wysokie
SGLang do wersji 0.5.20 w trybie prefill/decode disaggregation nie waliduje zduplikowanych pól bootstrap_room w żądaniach /generate z backendem transferu Mooncake KV. Nieuwierzytelnieni atakujący mogą wysyłać równoczesne żądania z identycznymi wartościami bootstrap_room, co może spowodować awarię procesów schedulera lub zawieszenie żądań innych użytkowników do czasu timeoutu transferu.
- CVE-2026-93034Krytyczne
SGLang zawiera podatność umożliwiającą zdalne wykonanie kodu, spowodowaną bezwarunkową deserializacją ładunków PickleWrapper przez dekoder wiadomości ZMQ za pomocą pickle.loads() w funkcji _maybe_unwrap_pickle, bez listy dozwolonych typów ani uwierzytelniania. Podatność utrzymuje się również na ścieżce msgpack nawet przy wyłączonym SGLANG_USE_PICKLE_IPC i staje się zdalnie wykorzystywalna, gdy włączona jest uwaga równoległa danych z ustawieniem --dist-init-addr innym niż loopback.
- CVE-2026-93088Krytyczne
Środowisko uruchomieniowe generowania multimodalnego SGLang jest podatne na nieuwierzytelnione wykonanie dowolnego kodu, ponieważ orchestrator disaggregated-diffusion wiąże nieuwierzytelniony gniazdo ZeroMQ ROUTER z interfejsem sieciowym i przekazuje ostatnią ramkę odebranych wiadomości wieloczęściowych bezpośrednio do pickle.loads() przed jakąkolwiek walidacją.
- CVE-2026-86793Krytyczne
SGLang pozwala na nieuwierzytelnioną deserializację pickle poprzez /update_weights_from_tensor, gdy nie skonfigurowano kluczy uwierzytelniających, a politykę SafeUnpickler można obejść, ponieważ builtins.import i builtins.getattr są rozwiązywalne, co umożliwia wykonanie kodu poprzez pickle REDUCE.
- CVE-2026-15976Krytyczne
SGLang zawiera podatność zdalnego wykonania kodu (RCE) podczas próby załadowania wag modelu z repozytorium HuggingFace. W punkcie końcowym /update_weights_from_disk funkcja torch.load z parametrem weights_only=False umożliwia deserializację pickle plików .bin.
- CVE-2026-15971Krytyczne
SGLang zawiera podatność zdalnego wykonania kodu (RCE) w opcjonalnym podsystemie dumper. Gdy zmienna DUMPER_SERVER_PORT jest ustawiona, możliwa jest ucieczka z piaskownicy, co umożliwia wykonanie kodu na żądaniach inferencyjnych.
- CVE-2026-15969Krytyczne
SGLang zawiera podatność zdalnego wykonania kodu (RCE) bez uwierzytelniania w punkcie końcowym /load_lora_adapter_from_tensors. Podatność wynika z obejścia niekompletnej listy blokad SafeUnpicklera, co umożliwia wykonanie dowolnych poleceń poprzez spreparowane ładunki pickle zakodowane w base64.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in sgl-project SGLang up to 0.5.19. Affected is the function WeightExporter.send_weights_to_remote_instance of the file python/sglang/srt/model_executor/model_runner_components/weight_exporter.py of the component Weight Exporter. Performing a manipulation of the argument group_name results in denial of service. The attack can be initiated remotely. The exploit has been released to the public and may be used for attacks. The pull request to fix this issue awaits acceptance.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS