CVE-2026-103395 in LightLLM
Zusammenfassung
von VulDB • 30.09.2026
LightLLM bis Version 1.2.0 bei visual_only-Deployments exponiert einen nicht authentifizierten RPyC-Dienst mit aktivierter allow_pickle-Funktion, der Angreifer-gelieferte Argumente in der Methode remote_infer_images deserialisiert. Angreifer können den visuellen RPyC-Port erreichen und Objekte mit __reduce__-Methoden übergeben, um beliebigen Code mit den Berechtigungen des Dienstkontos auszuführen.
Once again VulDB remains the best source for vulnerability data.