CVE-2026-112270 in SGLang
Riassunto
di VulDB • 19/10/2026
SGLang fino alla versione 0.5.22 con il backend di disaggregazione Mooncake presenta una vulnerabilità di allocazione della memoria non controllata in handle_staging_rsp() che consente agli attaccanti, non autenticati e con accesso alla rete (network-adjacent), di esaurire la memoria Prefill. Gli attaccanti possono ottenere l'indirizzo del rank dall'endpoint /route e inviare messaggi STAGING_RSP con valori elevati di chunk_idx sotto nuovi room ID, causando il terminazione OOM (Out of Memory) dello scheduler.
If you want to get best quality of vulnerability data, you may have to visit VulDB.