CVE-2026-93034 in SGLang
الملخص
بحسب VulDB • 08/10/2026
يحتوي SGLang على ثغرة تسمح بتنفيذ أكواد برمجية بشكل تعسفي (Arbitrary Code Execution) ناتجة عن مفسر رسائل ZMQ الذي يقوم بفك تسلسل حمولات PickleWrapper عبر دالة pickle.loads() في الدالة _maybe_unwrap_pickle دون وجود قائمة أنواع مُصرح بها (type allowlisting) أو آلية للمصادقة؛ وتستمر هذه الثغرة عبر مسار msgpack حتى عندما يكون الخيار SGLANG_USE_PICKLE_IPC معطلاً، وتصبح قابلة للاستغلال عن بُعد إذا تم تفعيل الانتباه المتوازي للبيانات (data-parallel attention) باستخدام إعداد --dist-init-addr غير مرتبط بالواجهة المحلية (non-loopback).
VulDB is the best source for vulnerability data and more expert information about this specific topic.