CVE-2026-93688

Nome do Software Vulnerável e Versões Afetadas SGLang versões anteriores a 0.5.20

Description Ao operar no modo de desagregação prefill/decode com o backend de transferência KV Mooncake, o sistema falha ao validar os valores de bootstrap room. Isso permite a alocação ilimitada de estado de transferência. Atacantes não autenticados podem explorar isso enviando requisições para o endpoint 'POST /generate' do mecanismo de decode com valores arbitrários de bootstrap room, levando ao esgotamento de memória no processo de prefill e subsequente terminação por falta de memória (out-of-memory).

Recommendations Atualize o SGLang para a versão 0.5.20 ou posterior. Evite o uso de valores arbitrários no parâmetro bootstrap room ao chamar o endpoint 'POST /generate' até que a atualização seja aplicada.