PT-2026-117410
CVE-2026-112266
·
تاريخ النشر
2026-10-19
·
تاريخ التحديث
2026-10-19
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
SGLang الإصدارات السابقة لـ 0.5.23
الوصف
توجد مشكلة في حجب الخدمة تتيح لعملاء واجهة برمجة التطبيقات (API) إلغاء طلبات التوليد الجارية والمملوكة لمستخدمين آخرين. يحدث هذا عندما يقوم المهاجم بإرسال طلبات تدفق (streaming) إلى نقطة النهاية '/generate' باستخدام
rid (معرف الطلب) قصير يتحكم فيه العميل. من خلال استخدام قيم rid مكونة من حرف سداسي عشري واحد ثم قطع الاتصال، يقوم المهاجم بتفعيل منطق الإلغاء القائم على مطابقة البادئة، مما يؤدي إلى إنهاء جميع طلبات العملاء النشطين الآخرين.التوصيات
تحديث SGLang إلى الإصدار 0.5.23 أو إصدار أحدث.
تجنب استخدام قيم قصيرة أو مكونة من حرف واحد لمعلمة
rid في نقطة النهاية '/generate'.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾