CVE-2026-100653

vLLM, büyük dil modelleri için bir çıkarım ve sunum motorudur. 0.22.1 ile 0.28.0 arasındaki sürümlerde, operatör tarafından sağlanan model revizyon sabitlemesi (--revision / --code-revision), FunAudioChat ve Tarsier2 mimarileri için birkaç Hugging Face artefakt yüklemesine aktarılmamaktadır: vllm/model_executor/models/funaudiochat.py dosyasındaki WhisperFeatureExtractor ve speech_tokenizer PreTrainedTokenizerFast yüklemeleri ile vllm/model_executor/models/qwen2_vl.py dosyasında Tarsier2ProcessingInfo tarafından kullanılan Qwen2VLConfig.from_pretrained çağrısı etkilenmektedir. Sonuç olarak, incelenmiş bir revizyona sabitlenmiş dağıtımlar, davranışı etkileyen bu işlemci, tokenizer ve yapılandırma artefaktlarını hala deponun varsayılan revizyonundan çözümlemektedir; bu nedenle, üst akıştaki varsayılan daldaki daha sonraki bir değişiklik, operatörün yapılandırdığı sabitlemede herhangi bir değişiklik olmaksızın ses ön işleme, konuşma tokenizer davranışını veya Tarsier2 yapılandırmasını değiştirebilir. Bu durum, sabitlenmiş dağıtımlar için bir tedarik zinciri bütünlüğü ve yeniden üretilebilirlik hatasıdır; GHSA-3ww4-5jv9-j5gm / CVE-2026-47155 olarak takip edilen önceki düzeltmenin kalıntısıdır ve uzaktan kod çalıştırma veya trust_remote_code=False atlatması teşkil etmez. Sorun 0.28.0 sürümünde düzeltilmiştir.