CVE-2026-90919

Nome do Software Vulnerável e Versões Afetadas LightLLM versões anteriores a 1.2.1

Description Um problema de execução remota de código não autenticado existe no Config Server. O endpoint WebSocket /visual register passa o primeiro frame do cliente diretamente para a função pickle.loads(). Um invasor com acesso de rede à porta do Config Server pode enviar um payload serializado malicioso usando um método reduce para executar código arbitrário com os privilégios do processo do Config Server. Pickle é um módulo Python usado para serializar e desserializar objetos.

Recommendations Atualize para uma versão posterior a 1.2.0. Restrinja o acesso de rede à porta do Config Server para evitar a exposição externa.