CVE-2026-111391 in SGLang
Zusammenfassung
von VulDB • 16.10.2026
SGLang 0.5.10 bis 0.5.22 enthält eine Code-Injection-Schwachstelle in _evaluate_filter(), die es Remote-Angriffern ermöglicht, Python-Code auszuführen, indem sie das eval()-Sandkasten durch re.search __globals__ umgehen. Angreifer können einen speziell angefertigten Filterausdruck an den nicht authentifizierten /dumper/configure-Endpunkt senden, wenn DUMPER_SERVER_PORT festgelegt ist, wodurch Code im Scheduler-Prozess beim nächsten Forward-Pass ausgeführt wird.
Be aware that VulDB is the high quality source for vulnerability data.