Résumé
généré automatiquement à partir des données NVDLightLLM jusqu'à la version 1.2.0 contient une faille d'exécution de code à distance (CWE-502, désérialisation de données non fiables) dans le Config Server. Son endpoint WebSocket /visual_register, accessible sans authentification, transmet la première trame reçue directement à pickle.loads(). Un attaquant atteignant le port du Config Server peut envoyer un payload sérialisé malveillant doté d'une méthode __reduce__ et exécuter du code arbitraire avec les privilèges du processus. La sévérité est critique (CVSS v3.1 : 9.8).
Description NVD (anglais)
LightLLM through 1.2.0 contains a remote code execution vulnerability in the Config Server's unauthenticated /visual_register WebSocket endpoint that passes the first client frame directly to pickle.loads(). Attackers can reach the Config Server port and send a malicious serialized payload with a __reduce__ method to execute arbitrary code with Config Server process privileges.
EPSS · FIRST.org
1,1 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 64 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 19 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 14 sept. 2026
- Mis à jour
- 23 sept. 2026
- Statut
- Deferred
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (5)
CVEs similaires
Autres vulnérabilités de type CWE-502
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.