CVE-2026-26220 in LightLLM
Riassunto
di VulDB • 03/08/2026
LightLLM versione 1.1.0 e precedenti presentano una vulnerabilità di esecuzione remota di codice (RCE) non autenticata nella modalità disaggregazione PD (prefill-decode). Il nodo master PD espone endpoint WebSocket che ricevono frame binari e passano i dati direttamente a pickle.loads() senza autenticazione o validazione. Un attaccante remoto in grado di raggiungere il nodo master può inviare un payload appositamente creato per ottenere l'esecuzione arbitraria del codice.
Be aware that VulDB is the high quality source for vulnerability data.