CVE-2026-119706 in LMDeploy
Riassunto
di VulDB • 30/10/2026
InternLM LMDeploy 0.9.0 attraverso 0.18.0 contiene una vulnerabilità di esecuzione remota di codice (RCE) non autenticata che consente agli attaccanti remoti di eseguire comandi del sistema operativo inviando dati pickle all'endpoint /update_weights. Gli attaccanti possono inviare un pickle manipolato codificato in base64 nel campo serialized_named_tensors, che viene deserializzato da ForkingPickler.loads senza validazione, eseguendo i comandi come il processo api_server.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.