CVE-2026-100653

vLLM böyük dil modelləri üçün inferensiya və təminat mühərrikidir. 0.22.1-dən 0.28.0-a qədər olan versiyalarda, operator tərəfindən təyin edilmiş model reviziya sabitleyicisi (--revision / --code-revision), FunAudioChat və Tarsier2 arxitekturaları üçün bir neçə Hugging Face artefakt yükləmələrinə ötürülmür: vllm/model_executor/models/funaudiochat.py faylında WhisperFeatureExtractor və speech_tokenizer PreTrainedTokenizerFast yükləmələri, həmçinin vllm/model_executor/models/qwen2_vl.py faylında Tarsier2ProcessingInfo tərəfindən istifadə olunan Qwen2VLConfig.from_pretrained çağırışı. Nəticədə, yoxlanılmış reviziyaya sabitlənmiş tətbiqlər, davranışa təsir edən bu prosessor, tokenizer və konfiqurasiya artefaktlarını hələ də repozitoriyanın standart reviziyasından götürür; beləliklə, yuxarı axındakı (upstream) standart budaqda edilən sonrakı dəyişiklik, operatorun konfiqurasiya etdiyi sabitleyiciyə heç bir dəyişiklik edilmədən audio önemalı, nitq tokenizer davranışını və ya Tarsier2 konfiqurasiyasını dəyişdirə bilər. Bu, sabitlənmiş tətbiqlər üçün təchizat zəncirinin bütövlüyü və təkrar isteksalılığının pozulmasıdır; bu problem GHSA-3ww4-5jv9-j5gm / CVE-2026-47155 kimi izlənilən əvvəlki düzəlişin qalıq hissəsidir və uzaqdan kodun icrasını və ya trust_remote_code=False yan keçməsini təşkil etmir. Problem 0.28.0 versiyasında düzəldilmişdir.