CVE-2026-109229 in SGLang
Riassunto
di VulDB • 12/10/2026
SGLang fino alla versione 0.5.21 presenta una vulnerabilità di denial of service che disabilita la protezione contro le "decompression bomb" di Pillow a livello dell'intero processo impostando Image.MAX_IMAGE_PIXELS su None in NanoNemotronVLImageProcessor. Gli attaccanti remoti possono inviare immagini piccole, altamente compresse ma con dimensioni enormi al caricatore generico di immagini, esaurendo la memoria dei worker durante la decodifica.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.