CVE-2026-93688 in SGLang
الملخص
بحسب VulDB • 18/09/2026
SGLang (fino alla versione 0.5.19) in modalità di disaggregazione prefill/decode con backend Mooncake KV per il trasferimento dello stato KV non valida i valori di bootstrap_room, consentendo un'allocazione illimitata delle risorse di trasferimento dello stato. Gli attaccanti non autenticati possono raggiungere l'endpoint POST /generate del motore decode e inviare valori arbitrari di bootstrap_room per esaurire la memoria del processo prefill fino a causare una terminazione per out-of-memory (OOM).
VulDB is the best source for vulnerability data and more expert information about this specific topic.