Jiajia Liu

SGLang through 0.5.22 with the Mooncake disaggregation backend accepts unauthenticated decode registration messages on the Prefill rank ZMQ PULL socket, allowing denial of service. Network-adjacent attackers can send many registrations with unique mooncake session id values and large nested-buffer frames to exhaust Prefill memory until the scheduler is OOM-killed.

SGLang through 0.5.22 contains a denial of service vulnerability that allows API clients to abort other users' in-flight generation requests by supplying a short client-controlled rid. Attackers can submit streaming /generate requests with single hex character rids and disconnect, triggering prefix-matching abort logic that terminates all other clients' requests.

sglang-router (sgl-model-gateway) through 0.3.2 contains an authorization bypass vulnerability that allows holders of the data-plane API key to access mesh HA management routes because /ha/* endpoints skip control-plane Admin role checks. Attackers can read cluster topology, write gossiped configuration, change global rate limits, and call POST /ha/shutdown to silently dissolve HA coordination.

SGLang through 0.5.22 in prefill/decode disaggregation mode contains a server-side request forgery vulnerability that allows unauthenticated attackers to trigger outbound requests via client-supplied bootstrap host and bootstrap port fields. Attackers sending crafted requests to the Decode worker's /generate endpoint can probe internal hosts and ports and block the shared scheduler loop, delaying other inference requests.

SGLang through 0.5.22 with the Mooncake disaggregation backend contains an uncontrolled memory allocation vulnerability in handle staging rsp() that lets unauthenticated network-adjacent attackers exhaust Prefill memory. Attackers can obtain the rank address from the /route endpoint and send STAGING RSP messages with huge chunk idx values under fresh room IDs, causing the scheduler to be OOM-killed.

SGLang through 0.5.21 trusts caller-supplied mm hashes values as the multimodal prefix-cache key, allowing remote attackers to poison cached KV entries across requests. Attackers can send a different image under a known or predicted hash via /generate to disclose another request's image content or corrupt victims' responses.

**اسم البرنامج المصاب والإصدارات المتأثرة** SGLang الإصدارات 0.5.10 through 0.5.22 **Description** توجد ثغرة حقن تعليمات برمجية في الدالة ` evaluate filter()`. يمكن للمهاجمين عن بُعد تنفيذ تعليمات Python البرمجية من خلال الهروب من صندوق حماية `eval()` باستخدام `re.search globals `. يحدث هذا عن طريق إرسال تعبير تصفية مصمم خصيصاً إلى نقطة النهاية غير المصرح بها '/dumper/configure' عندما يتم تعيين المتغير `DUMPER SERVER PORT` ، مما يؤدي إلى تشغيل التعليمات البرمجية في عملية المجدول أثناء التمرير الأمامي التالي. **Recommendations** تحديث SGLang إلى إصدار أحدث من 0.5.22. كإجراء تخفيف مؤقت، تجنب تعيين المتغير `DUMPER SERVER PORT` أو قم بتقييد الوصول إلى نقطة النهاية '/dumper/configure'.

[Content removed]

**اسم البرنامج المصاب والإصدارات المتأثرة** SGLang الإصدارات السابقة لـ 0.5.22 **الوصف** توجد مشكلة في تخصيص الذاكرة غير المحدود تسمح للمهاجمين عن بُعد غير المصرح لهم بالتسبب في حجب الخدمة. من خلال تحميل ملفات ذات أحجام ضخمة إلى نقطة النهاية '/v1/audio/transcriptions'، يمكن للمهاجمين إرسال عمليات تحميل multipart كبيرة ومتزامنة يتم قراءتها بالكامل في الذاكرة قبل التحقق من صحتها، مما يؤدي إلى تعطل عامل HTTP/tokenizer. **التوصيات** تحديث SGLang إلى الإصدار 0.5.22 أو إصدار أحدث. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/v1/audio/transcriptions'.

**اسم البرنامج المصاب والإصدارات المتأثرة** SGLang الإصدارات السابقة لـ 0.5.22 **الوصف** توجد مشكلة تضخيم فك الضغط في الدالة `load audio()`. يمكن للمهاجمين عن بُعد التسبب في حالة رفض الخدمة عن طريق إرسال ملفات صوتية مضغوطة للغاية، مثل ملفات صمت صغيرة مشفرة بتنسيق FLAC، والتي يتم فك تشفيرها دون حدود للمدة أو العينات. تؤدي هذه العملية إلى توسيع الملفات إلى مخازن مؤقتة ضخمة من نوع PCM (تعديل كود النبضة)، مما يؤدي إلى استنفاد ذاكرة العامل وموارد وحدة المعالجة المركزية. يمكن تنفيذ الهجوم عبر مدخلات `audio url` أو `audio data`. **التوصيات** تحديث SGLang إلى الإصدار 0.5.22 أو أحدث. كإجراء تخفيف مؤقت، قم بتقييد أو التحقق من صحة مدخلات `audio url` و `audio data` لمنع إرسال ملفات مضغوطة بشكل خبيث.

**اسم البرنامج المصاب والإصدارات المتأثرة** SGLang الإصدارات السابقة لـ 0.5.22 **الوصف** يسمح تجاوز ميزانية الموارد للمهاجمين عن بُعد بتخطي حدود معالجة الفيديو في GLM-V. من خلال تقديم قيم محددة في كائن `video url` ، يمكن للمهاجمين التلاعب بمتغيرات `fps` و `max frames` و `max tokens per frame` و `max image tokens`. يؤدي ذلك إلى قيام الدالة `glm4v.py` بفك تشفير كل إطار من فيديو عالي الدقة بالحجم الكامل، مما يؤدي إلى استنفاد ذاكرة العامل وتعطيل الخدمة. **التوصيات** تحديث SGLang إلى الإصدار 0.5.22 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** SGLang الإصدارات السابقة لـ 0.5.22 **الوصف** توجد ثغرة تؤدي إلى حجب الخدمة حيث يقوم `NanoNemotronVLImageProcessor` بتعطيل حماية Pillow ضد قنابل فك الضغط على مستوى العملية بالكامل عن طريق تعيين `Image.MAX IMAGE PIXELS` إلى `None`. يتيح ذلك للمهاجمين عن بُعد إرسال صور صغيرة ومضغوطة للغاية بأبعاد ضخمة إلى محمل الصور العام، مما يؤدي إلى استنفاد ذاكرة العامل أثناء عملية فك التشفير. قنبلة فك الضغط هي ملف صورة أو ملف مضغوط خبيث مصمم لتعطيل النظام عن طريق التوسع إلى حجم هائل عند فك ضغطه. **التوصيات** التحديث إلى الإصدار 0.5.22 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** SGLang الإصدارات السابقة لـ 0.5.22 **الوصف** توجد مشكلة في تخصيص الذاكرة غير المحدود في دالة `preprocess video` داخل ملف `qwen vl.py`. يقوم النظام بفك تشفير إطارات الفيديو بدقة المصدر الكاملة قبل تطبيق حدود `max pixels`. يمكن للمهاجمين عن بُعد استغلال ذلك عن طريق إرسال مقاطع فيديو عالية الدقة إلى نقطة النهاية '/v1/chat/completions' في عمليات نشر Qwen-VL. يمكن أن تؤدي الطلبات المتزامنة من هذا النوع إلى استنفاد ذاكرة العامل، مما يتسبب في حجب الخدمة. **التوصيات** تحديث SGLang إلى الإصدار 0.5.22 أو أحدث. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/v1/chat/completions' أو حد من دقة مقاطع الفيديو المرفوعة.

**اسم البرنامج المصاب والإصدارات المتأثرة** LMCache الإصدارات 0.5.5 وما قبلها **الوصف** يفتقر المنسق متعدد العمليات إلى المصادقة، مما يسمح للمهاجمين عن بُعد غير المصرح لهم بالوصول إلى واجهة برمجة تطبيقات التحكم في الأسطول HTTP، والتي تستمع إلى جميع الواجهات افتراضيًا. يمكن للمهاجمين استخدام نقطة النهاية '/instances' لتسجيل أو إلغاء تسجيل المثيلات، ونقطة النهاية '/quota' لتجاوز الحصص، ونقطة النهاية '/events' لحقن الأحداث. بالإضافة إلى ذلك، يمكنهم تعداد '/directory/keys' للكشف عن بيانات وضع البيانات وتعطيل التخزين المؤقت. **التوصيات** تحديث LMCache إلى إصدار أحدث من 0.5.5. تقييد الوصول إلى واجهة برمجة تطبيقات التحكم في الأسطول HTTP لمنع الوصول عن بُعد غير المصرح به.

**اسم البرنامج المصاب والإصدارات المتأثرة** LMCache الإصدارات 0.5.5 وما قبلها **الوصف** يفتقر خادم HTTP في وضع تعدد العمليات (multiprocess mode) إلى المصادقة، مما يسمح للمهاجمين عن بُعد غير المصرح لهم بالوصول إلى نقاط نهاية الإدارة التي تستمع إلى جميع الواجهات افتراضيًا. يتيح ذلك للمهاجمين قراءة بيانات اعتماد البيئة عبر نقطة النهاية 'GET /env' والتكوينات عبر نقطة النهاية 'GET /config'. بالإضافة إلى ذلك، يمكن للمهاجمين مسح ذاكرة التخزين المؤقت، وحذف كائنات التخزين المؤقت، وتعديل حصص المستأجرين لطرد البيانات المخزنة مؤقتًا للمستأجرين الآخرين. **التوصيات** تحديث LMCache إلى إصدار أحدث من 0.5.5.

**اسم البرنامج المصاب والإصدارات المتأثرة** LMCache الإصدارات 0.5.5 وما قبلها **الوصف** تحتوي خدمة مراقبة الواجهة الأمامية على مشكلة تزوير الطلبات من جانب الخادم (SSRF). يمكن للمهاجمين غير المصرح لهم تجاوز قائمة السماح للوكيل عن طريق تسجيل مضيفين عشوائيين من خلال نقطة النهاية 'POST /api/proxies'. لاحقاً، يمكن استخدام نقاط النهاية '/proxy' أو '/proxy2' للوصول إلى المضيفين الداخليين، وقراءة الاستجابات، أو التلاعب بالعقد أو إيقاف نبضات القلب (heartbeat). **التوصيات** تحديث LMCache إلى إصدار أحدث من 0.5.5. تقييد الوصول إلى نقاط النهاية 'POST /api/proxies' و '/proxy' و '/proxy2' لتقليل مخاطر الاستغلال.

**Name of the Vulnerable Software and Affected Versions** LMCache versions 0.5.5 and earlier **Description** An unauthenticated remote code execution issue exists where remote attackers can execute Python code by sending scripts to the '/run script' endpoint. By leveraging the injected FastAPI app object, attackers can recover real builtins to bypass the guarded ` import ` function, allowing them to import the `os` module and execute operating system commands with the privileges of the LMCache process. **Recommendations** Update LMCache to a version later than 0.5.5. As a temporary mitigation, restrict access to the '/run script' endpoint.

**Name of the Vulnerable Software and Affected Versions** Mooncake Store versions 0.3.13.post1 and earlier **Description** A missing authorization issue allows unauthenticated attackers to inject completed LOCAL DISK replicas via the `NotifyOffloadSuccess` RPC. By mounting a local disk segment with a self-chosen client UUID, an attacker can attach replicas that point to endpoints under their control. This enables the delivery of poisoned disk-tier reads and the simulation of fake key existence. **Recommendations** Update Mooncake Store to a version later than 0.3.13.post1.

**Name of the Vulnerable Software and Affected Versions** Mooncake Store versions master through 0.3.13.post1 **Description** A missing authorization issue allows unauthenticated attackers to erase disk replicas of any object. By accessing the `coro rpc` master port, an attacker can trigger the `EvictDiskReplica()` and `BatchEvictDiskReplica()` functions to evict DISK replicas across all tenants. This can result in the permanent deletion of objects if the disk replica was the only remaining copy. **Recommendations** Update Mooncake Store to a version later than 0.3.13.post1. As a temporary mitigation, restrict access to the `coro rpc` master port to authorized networks only.

**Name of the Vulnerable Software and Affected Versions** Mooncake Store versions master through 0.3.13.post1 **Description** A missing authorization issue allows unauthenticated attackers to manipulate replication tasks via the `coro rpc` port. By using victim client UUIDs obtained through the `QueryTask()` function, attackers can invoke `CreateCopyTask()`, `CreateMoveTask()`, `FetchTasks()`, and `MarkTaskToComplete()` to hijack task queues and falsely record replication activities. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.