CVE-2026-100647
Açıklama
0.29.0 öncesindeki vLLM sürümleri, OpenAI uyumlu ve Anthropic API uç noktalarında kabul edilen cache_salt parametresinde bir hizmet reddi (denial-of-service) zafiyeti içermektedir; bu parametrede maksimum uzunluk doğrulaması eksiktir ve işlem tek bir EngineCore zamanlayıcı iş parçacığı üzerinde gerçekleştirilmektedir. Kimliği doğrulanmamış saldırganlar, maliyetli pickle serileştirmesini ve SHA-256 özetleme işlemini tetikleyen yüzlerce megabaytlık salt değerleri içeren HTTP istekleri göndererek zamanlayıcı iş parçacığını durdurabilir ve tüm eşzamanlı isteklere yönelik hizmeti engelleyebilir.
Nasıl düzeltilir
- vllm vllm0.29.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vllm vllm | v < 0.29.0 | 0.29.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.