Veille sécuritéBackend & données
P3Faible
Une vulnérabilité de l’endpoint HTTP `server_info` de sglang peut entraîner la transmission en clair d’informations sensibles liées à l’argument `api_key`. La fiche indique que l’attaque est distante, complexe et qu’un exploit a été divulgué, mais précise que la demande de correction est encore en attente d’acceptation.
Python
IdentifiantCVE-2026-105245
GravitéFaible
Exploitationrapportée, à confirmer
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-105245
Analyse technique
Le problème concerne la fonction `server_info` dans `python/sglang/srt/entrypoints/http_server.py`, au niveau de l’endpoint HTTP; la fiche mentionne une transmission en clair de données sensibles.
Impact, versions et correctif
Événement datéRetenu comme nouvelle vulnérabilité : la fiche NVD indique une publication le 2026-10-05T07:16:30.370Z, dans la période demandée. La fiche signale également un exploit divulgué et une correction dont la demande est en attente d’acceptation.
ImpactTransmission en clair d’informations sensibles; exploitation distante signalée comme complexe.
Versions affectéessglang jusqu’à la version 0.5.21 incluse, selon la fiche NVD.
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS2.9
EPSS0,20% · percentile 9,4%
Publication2026-10-05T07:16:30.370Z
Mise à jour2026-10-05T07:16:30.540Z
Action recommandée
Suivre l’acceptation et la publication du correctif par le projet; en attendant, examiner l’exposition de l’endpoint et le traitement de `api_key`.
Sources
Priorisation DFS : P3 · 1 source(s).