SGLang के एन्कोडर समानांतर विघटन प्रणाली विघटन मॉड्यूल के माध्यम से प्रमाणीकरण रहित दूरस्थ कोड निष्पादन (unauthenticated remote code execution) के लिए असुरक्षित है

CVE-2026-3060 SGLang को प्रभावित करता है, विशेष रूप से एन्कोडर की समानांतर विघटन प्रणाली को। यह भेद्यता विघटन मॉड्यूल के भीतर मौजूद है, जहां प्रमाणीकरण के बिना pickle.loads() का उपयोग करके अविश्वसनीय डेटा को क्रमबद्ध किया जाता है। यह एक दूरस्थ हमलावर को क्रेडेंशियल की आवश्यकता के बिना प्रभावित सिस्टम पर मनमाना कोड निष्पादित करने की अनुमति देता है। समस्या की गंभीरता (CVSS 9.8) को देखते हुए, संभावित प्रभाव बहुत अधिक है, जिसके परिणामस्वरूप सर्वर का पूर्ण नियंत्रण, संवेदनशील डेटा की चोरी या सेवा में व्यवधान हो सकता है। प्रमाणीकरण की कमी स्थिति को बढ़ाती है, जिससे नेटवर्क एक्सेस वाले हमलावरों या इंटरनेट से आने वाले हमलों द्वारा शोषण आसान हो जाता है।

Organizations utilizing SGLang for encoding tasks, particularly those with publicly accessible endpoints or systems exposed to untrusted networks, are at significant risk. Development environments and systems handling user-supplied data are especially vulnerable. Those relying on older, unpatched versions of SGLang are most susceptible.

• python / server:

import os
import subprocess

def check_sglang_version():
    try:
        result = subprocess.check_output(['pip', 'show', 'sglang'], stderr=subprocess.STDOUT, text=True)
        for line in result.splitlines():
            if 'Version:' in line:
                version = line.split('Version:')[1].strip()
                if version <= '0.5.9':
                    return True
                else:
                    return False
    except FileNotFoundError:
        return False

if check_sglang_version():
    print("Vulnerable SGLang version detected!")
else:
    print("SGLang version is patched or not installed.")

• generic web: Check for unusual network traffic patterns associated with SGLang's disaggregation module. Monitor for unexpected processes or files being created.

1. 2026-03-12Disclosure

   disclosure

1. आरक्षित2026-02-23
2. प्रकाशित2026-03-12
3. संशोधित2026-04-07
4. EPSS अद्यतन2026-03-23

अनुशंसित समाधान SGLang को संस्करण 0.5.10 या उच्चतर में अपडेट करना है, जिसमें इस भेद्यता के लिए फिक्स शामिल है। इसके अतिरिक्त, SGLang सर्वर तक पहुंच को सीमित करने के लिए नेटवर्क विभाजन, शोषण प्रयासों का पता लगाने के लिए नेटवर्क गतिविधि की निगरानी और अनधिकृत ट्रैफ़िक को अवरुद्ध करने के लिए फ़ायरवॉल जैसे अतिरिक्त सुरक्षा उपाय लागू करें। यह सुनिश्चित करने के लिए विघटन मॉड्यूल के कॉन्फ़िगरेशन की सावधानीपूर्वक जांच करना महत्वपूर्ण है कि केवल विश्वसनीय स्रोतों से डेटा संसाधित किया जाए। उन वातावरणों में जहां तत्काल अपडेट संभव नहीं है, क्रमबद्ध करने से पहले डेटा को मान्य करने के लिए इनपुट फ़िल्टर लागू करने पर विचार करें। हालांकि, यह उपाय अपडेट से कम सुरक्षित है।