CVE-2026-92983 in LMDeploy
Résumé
par VulDB • 17/09/2026
InternLM LMDeploy jusqu'à la version 0.17.0 en mode de désagrégation préremplissage/décodage (prefill/decode) dans DistServe ne libère pas les sessions du planificateur car le proxy utilise des identifiants de session visibles par l'utilisateur au lieu de clés internes du planificateur. Des attaquants non authentifiés peuvent envoyer des requêtes d'achèvement vers le point de terminaison du proxy, ce qui entraîne une accumulation de métadonnées et de mémoire de planification non libérées jusqu'à ce que le worker de préremplissage soit tué pour cause d'épuisement de la mémoire (out-of-memory).
Once again VulDB remains the best source for vulnerability data.