CVE-2026-109229

Nome do Software Vulnerável e Versões Afetadas SGLang versões anteriores a 0.5.22

Descrição Existe um problema de negação de serviço onde o NanoNemotronVLImageProcessor desativa a proteção contra bombas de descompressão do Pillow em todo o processo ao definir Image.MAX IMAGE PIXELS como None. Isso permite que invasores remotos enviem imagens pequenas e altamente compactadas com dimensões enormes para o carregador de imagens genérico, esgotando a memória do worker durante o processo de decodificação. Uma bomba de descompressão é um arquivo de imagem ou arquivo compactado malicioso projetado para travar um sistema ao expandir para um tamanho enorme quando descompactado.

Recomendações Atualize para a versão 0.5.22 ou posterior.