CVE-2026-103040

Nome do Software Vulnerável e Versões Afetadas LightLLM versões anteriores a 1.2.1

Description O serviço de perfil do roteador contém uma falha que permite a execução remota de código quando a aplicação é iniciada com a flag --enable profiling. O serviço expõe um servidor RPyC não autenticado com a desserialização de pickle habilitada. Um invasor pode executar código arbitrário enviando objetos serializados manipulados para a fila de comandos do perfil. A desserialização de pickle é um processo onde um objeto Python é convertido de um fluxo de bytes de volta para um objeto, o que pode ser explorado para executar comandos maliciosos se a entrada não for confiável.

Recommendations Atualize para a versão 1.2.1 ou posterior. Como mitigação temporária, evite iniciar o serviço com a flag --enable profiling.