CVE-2026-3059
🔴 Łataj teraz
W module generacji multimodalnej SGLang występuje podatność na zdalne wykonanie kodu bez uwierzytelnienia przez broker ZMQ, co może prowadzić do…
CVSS
9.8
EPSS
1.3%
Exploit
poc
Vendor
lmsys
Opis źródłowy (NVD)
SGLang's multimodal generation module is vulnerable to unauthenticated remote code execution through the ZMQ broker, which deserializes untrusted data using pickle.loads() without authentication.
exploit rce
Brak patcha
Źródła i daty
| Źródło | Wartość |
|---|---|
| NVD – CVSS | 9.8 |
| CISA KEV (aktywnie wykorzystywane) | Nie |
| FIRST EPSS (prawdopodobieństwo exploita) | 1.3% |
| Opublikowano (NVD) | 2026-03-12 12:15:59 UTC |
| Ostatnia modyfikacja (NVD) | 2026-04-07 19:16:46 UTC |
Referencje
- https://github.com/sgl-project/sglang/blob/main/python/sglang/multimodal_gen/runtime/scheduler_client.py (cret@cert.org) [Product]
- https://github.com/sgl-project/sglang/pull/20904 (cret@cert.org)
- https://github.com/sgl-project/sglang/releases/tag/v0.5.10 (cret@cert.org)
- https://github.com/sgl-project/sglang/security/advisories/GHSA-3cp7-c6q2-94xr (cret@cert.org) [Broken Link]
- https://orca.security/resources/blog/sglang-llm-framework-rce-vulnerabilities/ (cret@cert.org) [Exploit, Mitigation, Third Party Advisory]