CVE-2026-25960
Təsvir
vLLM böyük dil modelləri (LLM) üçün inferensiya və təminat mühərrikidir. 0.15.1 versiyasında CVE-2026-24779 üçün əlavə edilmiş SSRF qoruması, validasiya təbəqəsi ilə real HTTP klienti arasındakı uyğunsuz URL analiz davranışı səbəbindən load_from_url_async metodunda yan keçilə bilər. SSRF düzəlişi istifadəçi tərəfindən təqdim edilən URL-lərdən host adını yoxlamaq və çıxarmaq üçün urllib3.util.parse_url()-dən istifadə edir. Lakin load_from_url_async real HTTP sorğularını etmək üçün aiohttp-dən istifadə edir və aiohttp daxili olaraq URL analizi üçün yarl kitabxanasından istifadə edir. Bu zəiflik 0.17.0 versiyasında mövcuddur.
Necə düzəltmək olar
- vllm vllm0.17.0 və ya daha yeni versiya
- vllm0.17.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vllm vllm | 0.15.1 ≤ v < 0.17.0 | 0.17.0 |
| vllmPyPI | 0.15.1 ≤ v < 0.17.0 | 0.17.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.