CVE-2026-15976

Nome do Software Vulnerável e Versões Afetadas SGLang (versões afetadas não especificadas)

Descrição A Execução Remota de Código é possível ao carregar pesos de modelo de um repositório HuggingFace. O problema ocorre no endpoint '/update weights from disk', onde um fallback para torch.load(..., weights only=False) permite a desserialização de arquivos .bin maliciosos via pickle, um processo que converte um fluxo de bytes de volta em um objeto, o que pode ser explorado para executar código arbitrário.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.