PT-2026-110596
CVE-2026-109227
·
تاريخ النشر
2026-10-12
·
تاريخ التحديث
2026-10-18
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
SGLang الإصدارات السابقة لـ 0.5.22
الوصف
توجد مشكلة في تخصيص الذاكرة غير المحدود في دالة
preprocess video داخل ملف qwen vl.py. يقوم النظام بفك تشفير إطارات الفيديو بدقة المصدر الكاملة قبل تطبيق حدود max pixels. يمكن للمهاجمين عن بُعد استغلال ذلك عن طريق إرسال مقاطع فيديو عالية الدقة إلى نقطة النهاية '/v1/chat/completions' في عمليات نشر Qwen-VL. يمكن أن تؤدي الطلبات المتزامنة من هذا النوع إلى استنفاد ذاكرة العامل، مما يتسبب في حجب الخدمة.التوصيات
تحديث SGLang إلى الإصدار 0.5.22 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/v1/chat/completions' أو حد من دقة مقاطع الفيديو المرفوعة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾