What is CVE-2026-15976?
CVE-2026-15976 is a critical Remote Code Execution (RCE) vulnerability in SGLang when loading model weights from a HuggingFace repository. Due to a pickle deserialization fallback in the /update_weights_from_disk endpoint, an attacker can execute arbitrary code via a malicious .bin file. Users should update SGLang to the latest version and restrict model loading from untrusted sources.
Azərbaycanca: CVE-2026-15976, SGLang servisində HuggingFace model çəkilərini yükləyərkən ortaya çıxan kritik uzaqdan kod icrası (RCE) zəifliyidir. /update_weights_from_disk endpoint-ində pickle deserializasiyası səbəbindən təcavüzkar zərərli .bin faylı vasitəsilə serverdə kod icra edə bilər. Bu zəiflikdən qorunmaq üçün SGLang-i ən son versiyaya yeniləmək və etibarsız mənbələrdən model yükləməni məhdudlaşdırmaq tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-502
FAQ2
How to protect against CVE-2026-15976 vulnerability?
It is recommended to update SGLang to the latest version and restrict model loading from untrusted sources.
During which operation does CVE-2026-15976 vulnerability occur in SGLang?
The CVE-2026-15976 vulnerability occurs when loading HuggingFace model weights due to a pickle deserialization fallback in the /update_weights_from_disk endpoint.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.