CVE-2026-4944
Təsvir
vllm-project/vllm versiya 0.14.1-də iki model tətbiqi faylında (`vllm/model_executor/models/nemotron_vl.py` və `vllm/model_executor/models/kimi_k25.py`) `trust_remote_code=True` parametrinin sabit şəkildə təyin edildiyi bir boşluq mövcuddur. Bu, istifadəçinin açıq şəkildə təyin etdiyi `--trust-remote-code=False` parametrinə məna vermədən zərərli HuggingFace model repozitoriyaları vasitəsilə uzaqdan kodun icrasına şərait yaradır. Model tətbiqi fayllarındakı ayrı kod yollarına təsir etdiyi üçün bu problem CVE-2025-66448 və CVE-2026-22807 boşluqlarının natamam düzəlişidir. Xüsusilə NemotronVL və ya KimiK25 modellərini yükləyən sistemlər risk altındadır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vllm-project vllm-project/vllm | v ≤ latest | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.