CVE-2026-90554
Təsvir
vLLM versiyaları >=0.10.2 və <0.28.0, NanoNemotronVL modelləri üçün video girişindən audio çıxararkən hər hansı bir audio dekodlaşdırma ölçüsü və ya müddət limiti tətbiq etmir. nano_nemotron_vl.py faylında, _extract_audio_from_videos funksiyası load_audio_pyav(BytesIO(video_bytes)) funksiyasını max_duration_s və ya max_decode_bytes parametrləri olmadan çağırır, buna görə də nə VLLM_MAX_AUDIO_DECODE_DURATION_S, nə də VLLM_MAX_AUDIO_DECODE_BYTES tətbiq olunmur (AudioMediaIO-dakı birbaşa audio yükləmə yolundan fərqli olaraq). NanoNemotronVL modeli use_audio_in_video=True parametri ilə təmin edildikdə, multimodal giriş kimi kiçik və yüksək sıxılmış video təqdim edən hücumçu, audio dekodlaşdırma zamanı serveri giqabaytlarla yaddaş ayırmağa məcbur edə bilər ki, bu da xidmətdən imtinaya (DoS) səbəb olar. Problem vLLM 0.28.0 versiyasında düzəldilib.
Necə düzəltmək olar
- vllm vllm0.28.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vllm vllm | 0.10.2 ≤ v < 0.28.0 | 0.28.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.