PT-2026-66561
CVE-2026-15976
·
تاريخ النشر
2026-07-30
·
تاريخ التحديث
2026-08-04
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
SGLang (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يمكن تنفيذ التعليمات البرمجية عن بُعد عند تحميل أوزان النماذج من مستودع HuggingFace. تحدث المشكلة عند نقطة النهاية ’/update weights from disk‘، حيث يسمح اللجوء إلى
torch.load(..., weights only=False) بإلغاء تسلسل ملفات .bin الضارة عبر pickle، وهي عملية تحول دفق البايتات مرة أخرى إلى كائن، مما يمكن استغلاله لتنفيذ تعليمات برمجية عشوائية.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾