CVE-2026-7669

Resumen

Se detectó una vulnerabilidad en sgl-project SGLang hasta la versión 0.5.9. La función afectada es get_tokenizer del archivo python/sglang/srt/utils/hf_transformers_utils.py del componente HuggingFace Transformer Handler. La manipulación del argumento trust_remote_code con la entrada False como parte de Boolean resulta en inyección de código. El ataque puede ejecutarse de forma remota. Se asocia un nivel de complejidad alto a este ataque. La explotabilidad se considera difícil. En get_tokenizer(), cuando el llamador pasa trust_remote_code=False y HuggingFace transformers v5 devuelve una instancia de TokenizersBackend (el respaldo genérico para clases de tokenizador que no están en el registro), SGLang re-invoca silenciosamente AutoTokenizer.from_pretrained con trust_remote_code=True, anulando la configuración de seguridad explícita del llamador. Un repositorio de modelos que contenga un tokenizer.py malicioso referenciado mediante auto_map en tokenizer_config.json ejecutará Python arbitrario en el proceso de SGLang durante esta segunda llamada. No se emite ninguna línea de registro ni advertencia. La anulación afecta a todas las versiones actuales de SGLang porque transformers==5.3.0 está fijado en pyproject.toml. Tanto tokenizer_mode="auto" como tokenizer_mode="slow" se ven afectados. El exploit ahora es público y puede utilizarse. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.

• CVE-2026-7669-PoCPoC

  PoC para CVE-2026-7669: SGLang anulación silenciosa de trust_remote_code -> RCE