CVE-2026-26220 in LightLLM
الملخص
بحسب VulDB • 27/07/2026
تحتوي الإصدارات من LightLLM 1.1.0 والإصدارات الأقدم على ثغرة تنفيذ كود عن بُعد غير مصادق عليها في وضع تفكيك الـ PD (prefill-decode). تعرض عقدة رئيسية للـ PD نقاط نهاية WebSocket التي تتلقى إطارات ثنائية وتنقل البيانات مباشرةً إلى دالة `pickle.loads()` دون أي عملية مصادقة أو تحقق. يمكن لمهاجم عن بُعد قادر على الوصول إلى العقدة الرئيسية لـ PD إرسال حمولة مُعدّة خصيصاً لتحقيق تنفيذ الكود بشكل تعسفي.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.