CVE-2026-105754
Açıklama
vLLM, büyük dil modelleri için bir çıkarım ve sunum motorudur. 0.30.0 sürümünden önce, ayrıştırılmış ölçeklendirme yolundaki /inference/v1/generate uç noktası; features.kwargs_data alanında çağırıcı tarafından sağlanan tensörleri, features.mm_hashes alanında önbellek tanımlayıcılarını, features.mm_placeholders alanında aralıkları ve aktif model oluşturucu sözleşmesine yeniden bağlanmadan seçilen çok modlu alan işlemcilerini kabul etmektedir. Sahte ızgara geometrisi, alan türleri veya pozitif olmayan yer tutucu uzunlukları paylaşılan EngineCore'u sonlandırabilir; bir saldırgan kurbanın içerik özetini bildiğinde veya tetikleyebildiğinde, sahte önbellek özetleri istekler arası kodlayıcı-önbellek durumunu zehirleyebilir veya geri getirebilir ve düşürülen seyrek yer tutucu maskeleri yeniden oynatılan taşıma semantiğini değiştirebilir. Bu sorun 0.30.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- vllm vllm0.30.0 ya da sonraki bir sürüm
- vllm0.30.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vllm vllm | v < 0.30.0 | 0.30.0 |
| vllmPyPI | v < 0.30.0 | 0.30.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.