CVE-2026-7669

Resumo

Uma vulnerabilidade foi detectada no sgl-project SGLang até a versão 0.5.9. A função afetada é get_tokenizer do arquivo python/sglang/srt/utils/hf_transformers_utils.py do componente HuggingFace Transformer Handler. A manipulação do argumento trust_remote_code com a entrada False como parte de Boolean resulta em injeção de código. O ataque pode ser executado remotamente. Um alto nível de complexidade está associado a este ataque. A explorabilidade é considerada difícil. Em get_tokenizer(), quando o chamador passa trust_remote_code=False e o HuggingFace transformers v5 retorna uma instância TokenizersBackend (o fallback genérico para classes de tokenizer não registradas), o SGLang re-invoca silenciosamente AutoTokenizer.from_pretrained com trust_remote_code=True, sobrescrevendo a configuração de segurança explícita do chamador. Um repositório de modelo contendo um tokenizer.py malicioso referenciado via auto_map em tokenizer_config.json executará Python arbitrário no processo do SGLang durante esta segunda chamada. Nenhuma linha de log ou aviso é emitida. A sobrescrita afeta todas as versões atuais do SGLang porque transformers==5.3.0 está fixado em pyproject.toml. Tanto tokenizer_mode="auto" quanto tokenizer_mode="slow" são afetados. O exploit agora é público e pode ser usado. O fornecedor foi contatado antecipadamente sobre esta divulgação, mas não respondeu de nenhuma forma.

• CVE-2026-7669-PoCPoC

  PoC para CVE-2026-7669: substituição silenciosa de trust_remote_code no SGLang -> RCE