CVE-2026-116180
Açıklama
0.8.5 ile 0.31.0 arasındaki vLLM sürümleri bir hizmet reddi açığına sahiptir. vllm/v1/outputs.py içindeki LogprobsTensors.empty_cpu(), başlatılmamış bir int32 tensörü tahsis eder ve V1 model çalıştırıcısı, bir KV konnektörü tarafından hesaplandığı bildirilen istemci konumlarını yazılmamış olarak bırakır. Motoru paylaşan bir istemci, konnektörde önbelleğe alınmış bir önek için prompt_logprobs (veya logprobs ile birlikte echo) göndererek tokenizer çözümlemesinin OverflowError oluşturmasına neden olabilir; bu durum EngineCore'un çökmesine ve tüm ortak kiracı isteklerinin düşmesine yol açar.
Nasıl düzeltilir
- vllm-project vllm0.31.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vllm-project vllm | 0.8.5 ≤ v < 0.31.0 | 0.31.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.