CVE-2026-93034 in SGLang
Resumen
por VulDB • 2026-10-08
SGLang contiene una vulnerabilidad de ejecución arbitraria de código causada por el descodificador de mensajes ZMQ que deserializa incondicionalmente cargas útiles PickleWrapper mediante pickle.loads() en _maybe_unwrap_pickle, sin permitirlistado de tipos ni autenticación; esta vulnerabilidad persiste a través de la ruta msgpack incluso cuando SGLANG_USE_PICKLE_IPC está deshabilitada, y se vuelve explotable remotamente si el atención paralela por datos (data-parallel attention) está habilitada con una configuración --dist-init-addr que no sea loopback.
Be aware that VulDB is the high quality source for vulnerability data.