CVE-2026-93034 in SGLang
Riassunto
di VulDB • 08/10/2026
SGLang presenta una vulnerabilità di esecuzione arbitraria del codice causata dal decoder dei messaggi ZMQ che deserializza incondizionatamente i payload PickleWrapper tramite pickle.loads() in _maybe_unwrap_pickle, senza allowlisting dei tipi o autenticazione; questa vulnerabilità persiste attraverso il percorso msgpack anche quando SGLANG_USE_PICKLE_IPC è disabilitato e diventa sfruttabile da remoto se l'attenzione data-parallel è abilitata con un'impostazione --dist-init-addr non loopback.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.