CVE-2026-26220
Təsvir
LightLLM versiya 1.1.0 və daha əvvəlki versiyalarda PD (prefill-decode) disaqreqasiya rejimində autentifikasiyasız uzaqdan kodun icrası zəifliyi mövcuddur. PD master düyünü binar freymləri qəbul edən və məlumatları autentifikasiya və ya təsdiqləmə olmadan birbaşa pickle.loads() funksiyasına ötürən WebSocket son nöqtələrini (endpoints) təmin edir. PD master-a müraciət edə bilən uzaq hücumçu, ixtiyari kodun icrasını həyata keçirmək üçün xüsusi hazırlanmış fayl (payload) göndərə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ModelTC LightLLM | v ≤ 1.1.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.