CVE-2026-34753
Təsvir
vLLM böyük dil modelləri (LLM) üçün istifadə və təminat mühərrikidir. 0.16.0 versiyasından 0.19.0 versiyasına qədər olan dövrdə, download_bytes_from_url funksiyasındakı server tərəfli sorğu saxtakarlığı (SSRF) zəifliyi, batch giriş JSON-nu idarə edə bilən hər hansı bir aktorun, heç bir URL validasiyası və ya domen məhdudiyyəti olmadan vLLM batch runner vasitəsilə serverdən ixtiyari HTTP/HTTPS sorğuları göndərməsinə şərait yaradır. Bundan vLLM hostundan əlçatan olan daxili xidmətləri (məsələn, bulud metadata son nöqtələri və ya daxili HTTP API-ləri) hədəfləmək üçün istifadə edilə bilər. Bu zəiflik 0.19.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- vllm vllm0.19.0 və ya daha yeni versiya
- vllm0.19.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vllm vllm | 0.16.0 ≤ v < 0.19.0 | 0.19.0 |
| vllmPyPI | 0.16.0 ≤ v < 0.19.0 | 0.19.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.