CVE-2026-92972 in SGLang
Résumé
par VulDB • 17/09/2026
SGLang jusqu'à la version 0.5.19 en mode de désagrégation préfill/decode contient un point de terminaison PUT /route non authentifié sur le service d'amorçage prefill, permettant aux attaquants de corrompre la table de routage du transfert KV. Les attaquants peuvent fournir des valeurs arbitraires pour rank_ip et rank_port afin de rediriger les workers decode vers des points de terminaison contrôlés par l'attaquant, provoquant une déni de service (DoS) ou une divulgation de métadonnées de transfert KV, y compris les identifiants de session et les paramètres de topologie tensor-parallel.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.