CVE-2026-100650

vLLM 0.29.0 versiyasına qədər olan versiyalarda sənədləşdirilmiş media idarəetmə tədbirləri (sıxılmış audio ölçüsü üçün standart olaraq 25 MB olan VLLM_MAX_AUDIO_CLIP_FILESIZE_MB limiti və hər modallıq üzrə --limit-mm-per-prompt element limitləri) tətbiq edilməzdən əvvəl uzaqdakı və ya daxili medianı götürür və tam şəkildə realizə edir. Dörd giriş yolu boyunca — ortaq media əldə etmə layı (HTTPConnection.get_bytes()/async_get_bytes()), çat tamamlamalarının audio_url/base64 yolu, toplu nitq işlədicisi (batch speech runner) və Rust frontend POST /tokenize marşrutu — server bütün HTTP cavab gövdəsini oxuyur, daxili faylı base64 formatından dekodlaşdırır və ya hər media hissəsi üçün bir götürmə/dekodlaşdırma tapşırığı yaradır və yalnız bundan sonra limiti tətbiq edir (bəzi yollarda isə heç vaxt tətbiq etmir). Buna görə də, uzaqdakı hücumçu sorğu rədd edilməzdən əvvəl API serverinin və ya toplu işlədici prosesinin hücumçu tərəfindən seçilmiş gövdə ölçüsünə və ya media elementi sayına mütənasib olaraq yaddaş ayırmasına və çıxan trafik zolağını istifadə etməsinə səbəb ola bilər ki, bu da inferensiya öncəsi yaddaşın və trafik zolağının tükənməsi ilə nəticələnir (xidmətdən imtina). Konfiqurasiya edildikdə, çat və toplu interfeyslər API açarı tələb edir; Rust frontend /tokenize marşrutu dizayn etibarilə autentifikasiyasızdır. Kodun icrası və ya məlumatların sızması təsiri yoxdur.