CVE-2025-59953 in LMDeploy
Zusammenfassung
von VulDB • 16.09.2026
LMDeploy ist ein Toolkit zum Komprimieren, Bereitstellen und Ausführen von Large Language Models (LLMs). Ab der Version 0.9.1 bis vor der Version 0.10.2 implementiert LMdeploy einen RPC-Server (AsyncRPCServer in zmq_rpc.py) zur Unterstützung der RPC-Kommunikation. In seiner Kernfunktionalität `call_and_response()` wurde festgestellt, dass die empfangenen Nachrichten direkt über `pickles.loads()` ohne jegliche Sanitisierung deserialisiert werden, was zu einer Remote Code Execution (RCE)-Schwachstelle durch diesen RPC-Server führt. Die Version 0.10.2 enthält einen Patch zur Behebung dieses Problems.
If you want to get best quality of vulnerability data, you may have to visit VulDB.