CVE-2026-92983

Nome do Software Vulnerável e Versões Afetadas InternLM LMDeploy versões anteriores a 0.17.1

Descrição No modo de desagregação prefill/decode do DistServe, o proxy utiliza IDs de sessão voltados ao usuário em vez de chaves internas do agendador, o que impede a liberação das sessões do agendador. Atacantes não autenticados podem enviar solicitações de conclusão para o endpoint do proxy, fazendo com que metadados e memória do agendador não liberados se acumulem até que o worker de prefill seja encerrado devido a uma condição de falta de memória (out-of-memory).

Recomendações Atualize o InternLM LMDeploy para a versão 0.17.1 ou posterior.