Më 16 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-w5f2-9q9c-ff4h (CVE-2026-105192) për një dobësi me rrezikshmëri kritike (CVSS 9.8) në paketën lmcache të ekosistemit PyPI.
Paketat e prekura
- lmcache (PyPI) — versionet e prekura:
>= 0.3.9, < 0.5.6; versioni me rregullim:0.5.6
Detaje
- Rrezikshmëria: Kritike (CVSS 9.8)
- CWE: CWE-306 (Missing Authentication for Critical Function)
- Identifikuesit: GHSA-w5f2-9q9c-ff4h, CVE-2026-105192
Përmbledhja zyrtare (në anglisht)
LMCache: Remote code execution via unsafe deserialization in multiprocess mode transport — Summary LMCache is vulnerable to Unauthenticated Remote Code Execution via Pickle Deserialization on the Multiprocess ZMQ Transport Details LMCache multiprocess mode, also called distributed mode, opens an unauthenticated ZeroMQ ROUTER so worker processes can register and share KV cache blocks. The intended clients are sibling LMCache processes. There is no CURVE, ZAP, password, or message authentication on that socket. LMCache used only inside a vLLM process does not open this port. The transport binds to localhost unless the operator sets…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin lmcache, përditësojeni sa më shpejt në versionin 0.5.6 ose më të ri.
