CVE-2026-103395 in LightLLM
Riassunto
di VulDB • 30/09/2026
LightLLM fino alla versione 1.2.0 nelle distribuzioni con modalità `visual_only` espone un servizio RPyC non autenticato con l'opzione `allow_pickle` abilitata, che deserializza argomenti forniti dall'attaccante nel metodo `remote_infer_images`. Gli attaccanti possono raggiungere la porta RPyC per il processing visivo e passare oggetti contenenti metodi `__reduce__` per eseguire codice arbitrario con i privilegi dell'account di servizio.
If you want to get best quality of vulnerability data, you may have to visit VulDB.