CVE-2026-7669

Riepilogo

È stata rilevata una vulnerabilità in sgl-project SGLang fino alla versione 0.5.9. La funzione interessata è get_tokenizer del file python/sglang/srt/utils/hf_transformers_utils.py del componente HuggingFace Transformer Handler. La manipolazione dell'argomento trust_remote_code con l'input False come parte di Boolean comporta un'iniezione di codice. L'attacco può essere eseguito da remoto. A questo attacco è associato un livello di complessità elevato. Lo sfruttamento è considerato difficile. In get_tokenizer(), quando il chiamante passa trust_remote_code=False e HuggingFace transformers v5 restituisce un'istanza TokenizersBackend (il fallback generico per le classi di tokenizer non presenti nel registro), SGLang richiama silenziosamente AutoTokenizer.from_pretrained con trust_remote_code=True, sovrascrivendo l'esplicita impostazione di sicurezza del chiamante. Un repository di modelli contenente un tokenizer.py dannoso referenziato tramite auto_map in tokenizer_config.json eseguirà Python arbitrario nel processo SGLang durante questa seconda chiamata. Non viene emessa alcuna riga di log o avviso. La sovrascrittura interessa tutte le versioni attuali di SGLang perché transformers==5.3.0 è fissato in pyproject.toml. Sia tokenizer_mode="auto" che tokenizer_mode="slow" sono interessati. Lo sfruttamento è ora pubblico e può essere utilizzato. Il fornitore è stato contattato in anticipo riguardo a questa divulgazione ma non ha risposto in alcun modo.

• CVE-2026-7669-PoCPoC

  PoC per CVE-2026-7669: override silenzioso di trust_remote_code in SGLang -> RCE