CVE-2026-103041 · CVSS 9.8 · LightLLM through 1.2.0 multimodal deployments expose an unauthenticated RPyC cache service with pickle deserialization enabled on all …

NVD (CVSS crítico) · 30 sept, 01:17

LightLLM en versiones hasta 1.2.0 expone en despliegues multimodales un servicio RPyC de caché sin autenticación con deserialización pickle habilitada en todas las interfaces. Los atacantes pueden enviar objetos serializados malformados a los métodos del caché para ejecutar código arbitrario con los privilegios del servicio.