PT-2026-8395 · Lightllm · Lightllm

Valentin Lobstein · CVE-2026-26220 · Publicado 2026-02-17 · Atualizado 2026-02-23

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do LightLLM anteriores à 1.2.0

Descrição As versões 1.1.0 e anteriores do LightLLM contêm uma vulnerabilidade de execução remota de código não autenticada no modo de desagregação PD (prefill-decode). O nó mestre PD expõe endpoints WebSocket que recebem quadros binários e passam os dados diretamente para a função pickle.loads() sem autenticação ou validação. Um atacante remoto que possa acessar o nó mestre PD pode enviar um payload manipulado para obter execução arbitrária de código. A função pickle.loads() desserializa dados e, neste caso, o faz sem as verificações de segurança adequadas, permitindo a execução de código potencialmente malicioso.

Recomendações As versões anteriores à 1.2.0 devem ser atualizadas.

Exploit

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2026-26220

Produtos afetados

Lightllm

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/26xxx/CVE-2026-26220.json · Exploit
• 🔥 https://chocapikk.com/posts/2026/lightllm-pickle-rce · Exploit
• https://github.com/ModelTC/LightLLM/issues/1213 · Correção
• https://github.com/ModelTC/lightllm · Nota
• https://github.com/ModelTC/lightllm/blob/a27dfc88c2144ed51a6e160b6fbe20aad66c8fe0/lightllm/server/api_http.py#L331 · Nota
• https://github.com/ModelTC/lightllm/blob/a27dfc88c2144ed51a6e160b6fbe20aad66c8fe0/lightllm/server/api_http.py#L310 · Nota
• https://twitter.com/CisoRaging77913/status/2025795164103430251 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-26220 · Nota de Segurança
• https://twitter.com/CVEnew/status/2023608864541679840 · Publicação no Twitter
• https://t.me/CVEtracker/44857 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-26220 · Aviso do Fabricante
• https://twitter.com/SecAideInfo/status/2024433083190235624 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2023588180801339407 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2023600784307372288 · Publicação no Twitter
• https://lightllm-en.readthedocs.io/en/latest/index.html · Nota