CVE-2026-112266

Nome do Software Vulnerável e Versões Afetadas SGLang versões anteriores a 0.5.23

Descrição Um problema de negação de serviço existe onde clientes de API podem abortar solicitações de geração em andamento pertencentes a outros usuários. Isso ocorre quando um invasor envia solicitações de streaming para o endpoint '/generate' usando um rid (identificador de solicitação) curto e controlado pelo cliente. Ao usar valores de rid de um único caractere hexadecimal e depois desconectar, o invasor aciona a lógica de aborto por correspondência de prefixo que encerra todas as outras solicitações de clientes ativos.

Recomendações Atualize o SGLang para a versão 0.5.23 ou posterior. Evite usar valores curtos ou de caractere único para o parâmetro rid no endpoint '/generate'.