CVE-2026-115915
Açıklama
vLLM, büyük dil modelleri için bir çıkarım ve sunum motorudur. 0.32.0 sürümünden önce ImageMediaIO, dekoder seçimini kısıtlamadan saldırgan tarafından kontrol edilen görüntü baytlarını Image.open(BytesIO(data)) aracılığıyla Pillow'a iletir ve MIME etiketi seçilen formatı sınırlamaz. Bu nedenle, parse_image() ve fetch_image() üzerinden görüntü destekleyen istek yolları, ana bileşenlere bir EPS yükü gönderebilir. CVE-2024-29510'dan etkilenen Ghostscript yüklü bir ana makine, vLLM işleminin yetkileriyle komutlar çalıştırabilir; Pillow 12.0.0 ile 12.2.0 arasını kullanan ortamlar ise CVE-2026-59203'ü tetikleyerek medya yükleme çalışanlarını tüketebilir. İlgili savunmasız bağımlılığa sahip olmayan dağıtımlar, buna karşılık gelen etkiden etkilenmez. Bu sorun 0.32.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- vllm0.32.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vllmPyPI | v < 0.32.0 | 0.32.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.