CVE-2026-93839

Nome do Software Vulnerável e Versões Afetadas LightLLM versões anteriores a 1.2.1

Description Existe uma falha de bypass de autenticação no endpoint WebSocket /pd register. Atacantes não autenticados podem registrar nós arbitrários fornecendo JSON manipulado, pois o sistema falha ao realizar a validação do endereço do peer. Isso pode levar à divulgação de prompts completos de usuários roteados para o socket do atacante, negação de serviço ao substituir nós legítimos ou Server-Side Request Forgery (SSRF), permitindo que o PD Master envie requisições para endereços de rede interna.

Recommendations Atualize o LightLLM para uma versão posterior a 1.2.0. Restrinja o acesso ao endpoint WebSocket /pd register para minimizar o risco de exploração.