CVE-2026-93034 in SGLang
Résumé
par VulDB • 08/10/2026
SGLang présente une vulnérabilité d'exécution de code arbitraire causée par le décodeur de messages ZMQ qui désérialise sans condition les charges utiles PickleWrapper via pickle.loads() dans _maybe_unwrap_pickle, sans liste blanche de types ni authentification ; cette vulnérabilité persiste via le chemin msgpack même lorsque SGLANG_USE_PICKLE_IPC est désactivée, et devient exploitable à distance si l'attention parallèle des données (data-parallel attention) est activée avec un paramètre --dist-init-addr non loopback.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.