CVE-2026-57173
Təsvir
vLLM böyük dil modelləri üçün istifadə və təminat mühərrikidir. 0.24.0 versiyasından əvvəl, /v1/chat/completions üçün input_audio emal yolu, ortaq audio dekoderə VLLM_MAX_AUDIO_DECODE_DURATION_S parametrini ötürmədən AudioMediaIO.load_bytes və ya AudioMediaIO.load_file funksiyalarını çağırır. Buna görə də, autentifikasiya olunmamış müştəri çox böyük float32 PCM ayırmasına çevrilən kiçik sıxılmış audio girişi göndərə bilər ki, bu da /v1/audio/transcriptions tərəfindən artıq istifadə edilən müddət məhdudiyyətindən yan keçərək yaddaşın dolması səbəbi ilə işçinin (worker) çökməsinə səbəb olar. Sətirdaxili data URL-ləri VLLM_AUDIO_FETCH_TIMEOUT ilə məhdudlaşdırılmadan bu yola çatır. Problem audio imkanlı model təmin edən tətbiqlərə təsir edir və autentifikasiya yalnız tətbiqə xas əlçatanlığı dəyişdirir. Bu problem 0.24.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- vllm vllm0.24.0 və ya daha yeni versiya
- vllm0.24.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vllm vllm | v < 0.24.0 | 0.24.0 |
| vllmPyPI | v < 0.24.0 | 0.24.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.