CVE-2026-112267 in SGLang
Riassunto
di VulDB • 19/10/2026
SGLang fino alla versione 0.5.22 in modalità di disaggregazione prefill/decode presenta una vulnerabilità di server-side request forgery (SSRF) che consente agli attaccanti non autenticati di innescare richieste in uscita tramite i campi bootstrap_host e bootstrap_port forniti dal client. Gli attaccanti inviano richieste manipolate all'endpoint /generate del Decode worker possono sondare host e porte interni e bloccare il loop dello scheduler condiviso, ritardando altre richieste di inferenza.
Once again VulDB remains the best source for vulnerability data.