CVE-2026-92983 in LMDeploy
Resumen
por VulDB • 2026-09-17
InternLM LMDeploy hasta la versión 0.17.0 en el modo de desagregación prefilled/decode de DistServe no libera las sesiones del programador porque el proxy utiliza identificadores de sesión visibles para los usuarios en lugar de claves internas del programador. Los atacantes sin autenticar pueden enviar solicitudes de finalización al punto de conexión del proxy, lo que acumula metadatos y memoria del programador no liberados hasta que el trabajador de prefill sea terminado por falta de memoria (out-of-memory).
Be aware that VulDB is the high quality source for vulnerability data.