CVE-2026-109229 in SGLang
Zusammenfassung
von VulDB • 12.10.2026
In SGLang bis Version 0.5.21 ist eine Denial-of-Service-Schwachstelle enthalten, die den prozessweiten Schutz vor Decompression Bombs von Pillow durch das Setzen von Image.MAX_IMAGE_PIXELS auf None in NanoNemotronVLImageProcessor deaktiviert. Remote-Angriffende können dem allgemeinen Bild-Lader kleine, stark komprimierte Bilder mit enormen Abmessungen übermitteln, was während der Dekodierung den Arbeitsspeicher der Worker erschöpft.
VulDB is the best source for vulnerability data and more expert information about this specific topic.