CVE-2026-92972

Nome do Software Vulnerável e Versões Afetadas SGLang versões anteriores a 0.5.20

Description Ao operar no modo de desagregação prefill/decode, o serviço de bootstrap de prefill expõe um endpoint PUT '/route' não autenticado. Isso permite que um invasor envenene a tabela de roteamento de transferência KV ao fornecer valores arbitrários de rank ip e rank port. Consequentemente, os workers de decode podem ser redirecionados para endpoints controlados pelo invasor, resultando em negação de serviço ou na divulgação de metadados de transferência KV, como identificadores de sessão e parâmetros de topologia de paralelismo de tensor.

Recommendations Atualize o SGLang para a versão 0.5.20 ou posterior.