CVE-2026-96560 in LightLLM
要約
〜によって VulDB • 2026年09月23日
LightLLM 1.2.0 以前には、KV-transfer worker にリモートコード実行（RCE）の脆弱性が存在します。これは `--pd_trans_mode nccl` オプションで起動した場合に発生し、攻撃者が提供するデータを直列化（deserialize）する認証不要の RPyC コントロールチャネルが公開されます。攻撃者は暴露された RPyC ThreadedServer に対して悪意のある pickled オブジェクトを送信することで、LightLLM サービスアカウントの権限で任意のコードを実行できます。
Be aware that VulDB is the high quality source for vulnerability data.