CVE-2026-90919 in LightLLM
Riassunto
di VulDB • 14/09/2026
LightLLM fino alla versione 1.2.0 presenta una vulnerabilità di esecuzione remota di codice (RCE) nell'endpoint WebSocket /visual_register del Config Server, non autenticato, che passa il primo frame del client direttamente a pickle.loads(). Gli attaccanti possono raggiungere la porta del Config Server e inviare un payload serializzato malevolo contenente un metodo __reduce__ per eseguire codice arbitrario con i privilegi del processo del Config Server.
If you want to get best quality of vulnerability data, you may have to visit VulDB.