PT-2026-60483 · Sglang · Sglang

CVE-2026-14890 · Publicado 2026-07-16 · Atualizado 2026-07-16

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas SGLang (versões afetadas não especificadas)

Description O subsistema de backup expert-parallel expõe um socket ZeroMQ PULL em uma interface de rede roteável. Este socket carece de salvaguardas de autenticação e desserialização, o que permite que um invasor forneça um arquivo pickle malicioso. Isso resulta na execução remota de código não autenticada quando o recurso está habilitado e o serviço está acessível pela rede. A desserialização de pickle é o processo de converter um fluxo de bytes de volta em um objeto Python, que pode ser explorado para executar código arbitrário se a entrada não for confiável.

Recommendations Desative o subsistema de backup expert-parallel se ele não for estritamente necessário. Restrinja o acesso de rede ao serviço SGLang e ao seu socket ZeroMQ PULL apenas a fontes confiáveis.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2026-14890

Produtos afetados

Sglang

Referências · 6

• https://github.com/sgl-project/sglang/blob/main/python/sglang/srt/elastic_ep/expert_backup_manager.py · Nota
• https://reddit.com/r/SecOpsDaily/comments/1uy5i49/vu326070_sglang_contains_a_vulnerable_pickle · Publicação no Reddit
• https://kb.cert.org/vuls/id/326070 · Nota
• http://vince.cert.org/vuls/id/326070 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-14890 · Nota de Segurança
• https://twitter.com/0J0BIT/status/2077770675738091549 · Publicação no Twitter