Veille sécuritéBackend & données
P3Critique
Dans SGLang 0.5.10 à 0.5.22, une expression de filtre spécialement construite peut échapper à l’évaluation prévue et exécuter du code Python dans le processus scheduler. Le problème concerne l’endpoint `/dumper/configure` lorsque `DUMPER_SERVER_PORT` est activé; la version corrigée n’a pas été établie dans les éléments consultés.
Python
IdentifiantCVE-2026-111391
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-111391
Analyse technique
Injection de code dans `_evaluate_filter()`; l’attaque décrite vise le processus scheduler lors d’un forward pass.
Impact, versions et correctif
Événement datéNouvelle publication NVD horodatée 2026-10-16T12:16:33.197Z, soit 2026-10-16T14:16:33+02:00, dans la période demandée.
ImpactExécution de code à distance dans le processus scheduler, selon les conditions décrites dans la fiche candidate.
Versions affectéesSGLang 0.5.10 à 0.5.22
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.2
Publication2026-10-16T14:16:33+02:00
Mise à jour2026-10-16T16:17:23+02:00
Action recommandée
Vérifier l’exposition de `/dumper/configure` et appliquer le correctif éditeur lorsqu’il est disponible; la version corrigée n’est pas confirmée ici.
Sources
Priorisation DFS : P3 · 1 source(s).