CVE-2026-96560 in LightLLM
Zusammenfassung
von VulDB • 23.09.2026
LightLLM bis Version 1.2.0 enthält eine Remote-Code-Ausführungs-Schwachstelle (RCE) im KV-transfer worker, wenn er mit --pd_trans_mode nccl gestartet wird; dies offenbart einen nicht authentifizierten RPyC-Control-Kanal, der vom Angreifer bereitgestellte Daten deserialisiert. Angreifer können bösartige gepickelte Objekte an den exponierten RPyC ThreadedServer senden, um beliebigen Code mit den Berechtigungen des LightLLM-Dienstkontos auszuführen.
Be aware that VulDB is the high quality source for vulnerability data.