CVE-2026-22807

vLLM böyük dil modelləri (LLM) üçün inferensiya və servis mühərrikidir. Versiya 0.10.1-dən başlayaraq versiya 0.14.0-a qədər olan vLLM, model həlli zamanı `trust_remote_code` parametrini yoxlamadan Hugging Face `auto_map` dinamik modullarını yükləyir ki, bu da model repozitoriyasındakı və ya yolundakı hücumçu tərəfindən idarə olunan Python kodunun serverin işə düşməsi zamanı icrasına şərait yaradır. Model repozitoriyasına və ya yoluna (lokal kataloq və ya uzaq Hugging Face repozitoriyası) təsir edə bilən hücumçu, model yükləmə prosesi zamanı vLLM hostunda ixtiyari kodun icrasını təmin edə bilər. Bu, hər hansı sorğunun emalından əvvəl baş verir və API girişini tələb etmir. Versiya 0.14.0 bu problemi aradan qaldırır.