Der Angriff setzt an einer präparierten GGUF-Modelldatei an. Laut CERT/CC versieht der Angreifer dabei den Parameter „tokenizer.chat_template" mit einer Schadfracht für eine serverseitige Template-Injektion (SSTI) auf Basis von Jinja2, ergänzt um eine Auslösephrase, die den verwundbaren Codepfad aktiviert.
Lädt ein Opfer diese Modelldatei anschließend in SGLang und trifft eine Anfrage auf den Endpunkt „/v1/rerank", wird das manipulierte Template gerendert. Dabei führt der Server den vom Angreifer eingeschleusten Python-Code aus. „Diese Abfolge von Ereignissen ermöglicht es dem Angreifer, Remote Code Execution auf dem SGLang-Server zu erreichen", heißt es in der heute veröffentlichten Mitteilung des CERT/CC.
Die eigentliche Ursache liegt nach Darstellung von Stuart Beck darin, dass „jinja2.Environment()" ohne Sandbox verwendet wird statt der abgesicherten „ImmutableSandboxedEnvironment". Genau das erlaubt es einem bösartigen Modell, beliebigen Python-Code auf dem Inferenzserver auszuführen.
CVE-2026-5760 gehört zur selben Schwachstellenklasse wie CVE-2024-34359 (auch als „Llama Drama" bezeichnet, CVSS 9.7) – eine inzwischen behobene kritische Lücke im Python-Paket llama_cpp_python, die ebenfalls die Ausführung beliebigen Codes ermöglicht hätte. Dieselbe Angriffsfläche wurde laut CERT/CC zudem in vLLM korrigiert (CVE-2025-61620, CVSS 6.5).
Zur Eindämmung empfiehlt das CERT/CC, zum Rendern der Chat-Templates statt „jinja2.Environment()" die „ImmutableSandboxedEnvironment" einzusetzen. Dadurch werde die Ausführung beliebigen Python-Codes auf dem Server verhindert. Eine herstellerseitige Reaktion oder ein Patch liegen nach Angaben des CERT/CC nicht vor.