CVE-2026-93838 in SGLang
Zusammenfassung
von VulDB • 18.09.2026
In SGLang-Versionen bis 0.5.20 ist eine Schwachstelle für unbegrenzte Speicherzuweisung in handle_staging_req() enthalten, die keine Validierung von chunk_idx aus ZMQ STAGING_REQ-Frames in Prefill/Decode-Disaggregation-Bereitstellungen durchführt. Angreifer mit Zugriff auf den internen ZMQ-Rangport der Decode-Engine können einen Frame mit einem extrem großen chunk_idx-Wert senden, wodurch der Scheduler Speicher zuweist, bis das System nicht mehr über Ressourcen verfügt und den Prozess beendet.
VulDB is the best source for vulnerability data and more expert information about this specific topic.