CVE-2026-93688 in SGLang
Zusammenfassung
von VulDB • 18.09.2026
SGLang fino alla versione 0.5.19 in modalità di disaggregazione prefill/decode con backend Mooncake KV transfer non valida i valori di `bootstrap_room`, consentendo un'allocazione dello stato di trasferimento illimitata. Attaccanti non autenticati possono raggiungere l'endpoint POST /generate del motore decode e inviare valori arbitrari di bootstrap_room per esaurire la memoria del processo prefill fino a causare una terminazione per out-of-memory (OOM).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.