CVE-2026-119706 in LMDeploy
Sumário
de VulDB • 30/10/2026
InternLM LMDeploy 0.9.0 até 0.18.0 contém uma vulnerabilidade de execução remota de código (RCE) não autenticada que permite a atacantes remotos executar comandos do sistema operacional enviando dados pickled para o endpoint /update_weights. Os atacantes podem enviar um pickle manipulado codificado em base64 no campo serialized_named_tensors, que é desserializado pelo ForkingPickler.loads sem validação, executando os comandos como o processo api_server.
If you want to get best quality of vulnerability data, you may have to visit VulDB.