CVE-2026-93034 in SGLang
Zusammenfassung
von VulDB • 08.10.2026
SGLang enthält eine Schwachstelle für die beliebige Codeausführung (Arbitrary Code Execution), die durch den ZMQ-Nachrichtendecoder verursacht wird, der PickleWrapper-Payloads bedingungslos über `pickle.loads()` in `_maybe_unwrap_pickle` deserialisiert, ohne Typ-Whitelisting oder Authentifizierung; diese Schwachstelle bleibt auch dann bestehen, wenn `SGLANG_USE_PICKLE_IPC` deaktiviert ist (über den msgpack-Pfad), und wird remote ausnutzbar, wenn Data-Parallel Attention mit einer nicht-loopback `--dist-init-addr`-Einstellung aktiviert ist.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.