CVE-2026-100650

vLLM 0.29.0 sürümüne kadar olan versiyonlarda, belgelenmiş medya kontrollerini (varsayılanı 25 MB olan VLLM_MAX_AUDIO_CLIP_FILESIZE_MB sıkıştırılmış ses boyutu sınırı ve modalite başına --limit-mm-per-prompt öğe sınırları) uygulamadan önce uzak veya satır içi medyaları getirir ve tamamen somutlaştırır. Dört giriş yolu boyunca — paylaşılan medya edinme katmanı (HTTPConnection.get_bytes()/async_get_bytes()), sohbet tamamlama audio_url/base64 yolu, toplu konuşma çalıştırıcısı ve Rust ön yüz POST /tokenize rotası — sunucu tüm HTTP yanıt gövdesini okur, satır içi yükü base64 ile çözer veya her medya parçası için bir getirme/çözme görevi başlatır ve limiti ancak ondan sonra uygular (veya bazı yollarda hiç uygulamaz). Bu nedenle, uzak bir saldırgan, istek reddedilmeden önce API sunucusunun veya toplu çalıştırma işleminin, saldırgan tarafından seçilen gövde boyutuna veya medya öğesi sayısına orantılı olarak bellek ayırmasına ve giden bant genişliğini tüketmesine neden olabilir; bu durum çıkarım öncesi bellek ve bant genişliği tükenmesiyle (hizmet reddi) sonuçlanır. Sohbet ve toplu işlem arayüzleri, yapılandırıldığında bir API anahtarı gerektirir; Rust ön yüz /tokenize rotası ise tasarım gereği kimlik doğrulaması gerektirmez. Kod çalıştırma veya veri ifşası etkisi yoktur.