CVE-2026-112270

Nome do Software Vulnerável e Versões Afetadas SGLang versões anteriores a 0.5.23

Descrição Um problema de alocação de memória não controlada existe no backend de desagregação Mooncake, dentro da função handle staging rsp(). Atacantes adjacentes à rede não autenticados podem esgotar a memória de Prefill ao obter o endereço de rank através do endpoint '/route' e enviar mensagens STAGING RSP com valores de chunk idx excessivamente grandes sob novos IDs de sala. Esta ação pode levar ao encerramento do agendador por OOM-killed, que se refere a um estado de falta de memória (Out-Of-Memory) onde o sistema operacional encerra o processo para recuperar memória.

Recomendações Atualize o SGLang para a versão 0.5.23 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint '/route' para evitar que usuários não autorizados obtenham endereços de rank.