CVE-2026-109227

Nome do Software Vulnerável e Versões Afetadas SGLang versões anteriores a 0.5.22

Descrição Um problema de alocação de memória ilimitada existe na função preprocess video dentro de qwen vl.py. O sistema decodifica quadros de vídeo na resolução total da fonte antes de aplicar os limites de max pixels. Atacantes remotos podem explorar isso enviando vídeos de alta resolução para o endpoint '/v1/chat/completions' em implantações do Qwen-VL. Solicitações simultâneas desse tipo podem esgotar a memória do worker, causando a negação de serviço.

Recomendações Atualize o SGLang para a versão 0.5.22 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint '/v1/chat/completions' ou limite a resolução dos vídeos enviados.