CVE-2026-112267 in SGLang
Zusammenfassung
von VulDB • 19.10.2026
SGLang bis Version 0.5.22 im Modus der Trennung von Prefill und Decoding enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle, die es nicht authentifizierten Angreifern ermöglicht, ausgehende Anfragen über clientseitig bereitgestellte Felder für bootstrap_host und bootstrap_port auszulösen. Angreifer, die gefälschte Anfragen an den /generate-Endpunkt des Decode-Arbeiters senden, können interne Hosts und Ports scannen sowie die gemeinsam genutzte Scheduler-Schleife blockieren, was zu Verzögerungen bei anderen Inferenzanfragen führt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.