CVE-2026-26220 in LightLLM
要約
〜によって VulDB • 2026年08月03日
LightLLM バージョン 1.1.0 およびそれ以前には、PD（prefill-decode）分離モードにおいて認証不要のリモートコード実行脆弱性が存在します。PD マスターノードは WebSocket エンドポイントを公開しており、これらはバイナリフレームを受信し、認証や検証を行わずに直接 pickle.loads() にデータを渡します。PD マスターに到達可能な攻撃者は、任意のコードを実行するために作られたペイロードを送信できます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.