CVE-2026-7669

Résumé

Une vulnérabilité a été détectée dans sgl-project SGLang jusqu'à la version 0.5.9. La fonction concernée est get_tokenizer du fichier python/sglang/srt/utils/hf_transformers_utils.py du composant HuggingFace Transformer Handler. La manipulation de l'argument trust_remote_code avec la valeur False dans le cadre de Boolean entraîne une injection de code. L'attaque peut être exécutée à distance. Un niveau de complexité élevé est associé à cette attaque. L'exploitabilité est considérée comme difficile. Dans get_tokenizer(), lorsque l'appelant transmet trust_remote_code=False et que HuggingFace transformers v5 renvoie une instance TokenizersBackend (le repli générique pour les classes de tokenizer non enregistrées), SGLang ré-invoque silencieusement AutoTokenizer.from_pretrained avec trust_remote_code=True, outrepassant le paramètre de sécurité explicite de l'appelant. Un dépôt de modèle contenant un tokenizer.py malveillant référencé via auto_map dans tokenizer_config.json exécutera du Python arbitraire dans le processus SGLang lors de ce second appel. Aucune ligne de journal ni aucun avertissement n'est émis. Le contournement affecte toutes les versions actuelles de SGLang car transformers==5.3.0 est épinglé dans pyproject.toml. Les modes tokenizer_mode="auto" et tokenizer_mode="slow" sont tous deux concernés. L'exploit est désormais public et peut être utilisé. Le fournisseur a été contacté tôt à propos de cette divulgation mais n'a répondu d'aucune manière.

• CVE-2026-7669-PoCPoC

  PoC pour CVE-2026-7669 : remplacement silencieux de trust_remote_code dans SGLang -> RCE