CVE-2026-116178

Orta

Açıklama

0.20.0 ile 0.30.0 arasındaki vLLM sürümleri, uzaktaki saldırganların ayrıştırılmış /inference/v1/generate uç noktasına tutarsız çok modlu meta veriler göndererek motorun çökmesine neden olabildiği bir hizmet reddi zafiyeti içermektedir. Saldırganlar; tekrarlanan veya örtüşen mm_placeholders aralıklarına ya da uyuşmayan kwargs_data ve mm_hashes listelerine sahip geçerli bir çok modlu öğeyi yeniden oynatarak, Qwen2.5-VL konum oluşturma sürecinde motoru sonlandıran negatif bir metin alanı oluşturabilirler.

ÖnemOrta

CVSS5.9

İstismar olasılığı—

ÜrünVllm

Yayın25 Eki 2026

İlk görülme25 Eki 2026

Zayıflık türüCWE-20Girdinin yetersiz doğrulanması

Nasıl düzeltilir

Güncelleyin

vllm-project vllm0.30.0 ya da sonraki bir sürüm

Üretici duyuruları

github.com/vllm-project/vllm/security/advisories/GHSA-34qw-q2h2-jp3m

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
vllm-project vllm	0.20.0 ≤ v < 0.30.0	0.30.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.