CVE-2026-25960

Yüksek

Açıklama

vLLM, büyük dil modelleri (LLM'ler) için bir çıkarım ve sunum motorudur. CVE-2026-24779 için 0.15.1 sürümünde eklenen SSRF koruma düzeltmesi, doğrulama katmanı ile gerçek HTTP istemcisi arasındaki tutarsız URL ayrıştırma davranışı nedeniyle load_from_url_async metodunda atlatılabilir. SSRF düzeltmesi, kullanıcı tarafından sağlanan URL'lerden ana makine adını doğrulamak ve çıkarmak için urllib3.util.parse_url() kullanır. Ancak, load_from_url_async gerçek HTTP isteklerini yapmak için aiohttp kullanır ve aiohttp dahili olarak URL ayrıştırma için yarl kütüphanesini kullanır. Bu güvenlik açığı 0.17.0 sürümündedir.

ÖnemYüksek

CVSS7.1

İstismar olasılığı—

ÜrünVllm

Yayın9 Mar 2026

İlk görülme9 Mar 2026

Zayıflık türüCWE-918Sunucu taraflı istek sahteciliği (SSRF)

Nasıl düzeltilir

Güncelleyin

vllm vllm0.17.0 ya da sonraki bir sürüm
vllm0.17.0 ya da sonraki bir sürüm

Üretici duyuruları

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
vllm vllm	0.15.1 ≤ v < 0.17.0	0.17.0
vllmPyPI	0.15.1 ≤ v < 0.17.0	0.17.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.