CVE-2026-26220

LightLLM do wersji 1.2.0 montuje trasy kontroli uczenia przez wzmacnianie na publicznym API HTTP bez kontroli uwierzytelnienia. Nieuwierzytelnieni atakujący mogą wywoływać punkty końcowe takie jak /pause_generation, /abort_request, /flush_cache i /init_weights_update_group, aby zakłócić operacje wnioskowania i zablokować workerów na wdrożeniach uruchomionych z --enable_rl.

LightLLM do wersji 1.2.0 wdrożenia visual_only wystawia nieuwierzytelnioną usługę RPyC z włączonym allow_pickle, która deserializuje argumenty dostarczone przez atakującego w metodzie remote_infer_images. Atakujący mogą dotrzeć do portu RPyC i przekazać obiekty z metodami __reduce__, aby wykonać dowolny kod z uprawnieniami konta usługi.

LightLLM do wersji 1.2.0 w wdrożeniach multimodalnych udostępnia nieuwierzytelnioną usługę cache RPyC z włączoną deserializacją pickle na wszystkich interfejsach. Atakujący mogą wysyłać spreparowane obiekty szeregowane do odsłoniętych metod cache, aby wykonać dowolny kod z uprawnieniami usługi.

LightLLM do wersji 1.2.0 zawiera podatność zdalnego wykonania kodu w usłudze router profiler, gdy uruchomiono z flagą --enable_profiling. Usługa udostępnia nieuwierzytelniony serwer RPyC z włączoną deserializacją pickle, umożliwiając atakującym wykonanie dowolnego kodu poprzez wysyłanie spreparowanych obiektów szeregowych do kolejki poleceń profilera.

LightLLM do wersji 1.2.0 zawiera podatność na zdalne wykonanie kodu w workerze KV-transfer, gdy jest uruchomiony z --pd_trans_mode nccl, co wystawia nieuwierzytelniony kanał kontrolny RPyC, który deserializuje dane dostarczone przez atakującego. Atakujący mogą wysyłać złośliwe obiekty pickle do wystawionego ThreadedServer RPyC, aby wykonać dowolny kod z uprawnieniami konta usługi LightLLM.

LightLLM w wersji do 1.2.0 zawiera lukę obejścia uwierzytelniania w punkcie końcowym WebSocket /pd_register, która pozwala nieuwierzytelnionym atakującym rejestrować dowolne węzły poprzez dostarczenie spreparowanego JSON bez walidacji adresu peera. Atakujący mogą ujawnić pełne prompty użytkowników kierowane do ich gniazda, wywołać odmowę usługi poprzez zastąpienie legalnych węzłów lub zmusić PD Master do wysyłania żądań do wewnętrznych adresów sieciowych.

LightLLM w wersjach do 1.2.0 zawiera podatność zdalnego wykonania kodu w nieuwierzytelnionym endpointcie WebSocket /visual_register serwera Config Server, który przekazuje pierwszą ramkę klienta bezpośrednio do pickle.loads(). Atakujący może połączyć się z portem Config Server i wysłać złośliwy serializowany ładunek z metodą __reduce__, aby wykonać dowolny kod z uprawnieniami procesu Config Server.

LightLLM do wersji 1.2.0 zawiera podatność typu denial of service. Nieuwierzytelniony atakujący może wysłać pojedyncze żądanie do endpointu /generate z wewnętrznym polem pd_kv_trans_params, co powoduje błąd pickle.loads w InferSamplingParams i zabija wątek inferencji, podczas gdy /health pozostaje dostępny, a kolejne żądania zawieszają się do restartu.

LightLLM do wersji 1.2.0 nie waliduje parametrów image_url i audio_url w punktach końcowych multimodalnych, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataku SSRF. Mogą oni podać dowolne adresy URL do pobierania zasobów wewnętrznych, a przetwarzanie przez model wizyjny może ujawnić zawartość lub błędy odpowiedzi.

LightLLM w wersji do 1.2.0 zawiera podatność polegającą na wyczerpaniu pamięci w kanale kontrolnym NCCL, gdy uruchomiono z opcją --pd_trans_mode nccl. Nieuwierzytelniony atakujący może wywołać metodę exposed_set_value, aby przechowywać nieograniczone pary klucz-wartość, powodując awarię procesu roboczego i awarię węzła.