CVE-2026-5497
Açıklama
vLLM 0.8.0 ve sonrası sürümler, `VideoMediaIO.load_base64()` metodundaki sınırsız kare sayısı işleme nedeniyle Bellek Yetersizliği (Out-of-Memory - OOM) Hizmet Reddi (DoS) saldırısına karşı savunmasızdır. `video/jpeg` veri URL'leri işlenirken, metod bir kare sayısı sınırı uygulamadan bireysel JPEG karelerini çıkarmak için base64 veri dizisini virgüllere göre ayırır. Bir saldırgan, bir veri URL'si içinde binlerce virgülle ayrılmış base64 ile kodlanmış JPEG karesi içeren tek bir API isteği oluşturarak bunu istismar edebilir; bu durum sunucunun tüm kareleri belleğe çözmesine ve aşırı bellek tüketimi nedeniyle çökmesine neden olur. Bu güvenlik açığına OpenAI uyumlu sohbet tamamlama API'si üzerinden erişilebilir ve kimlik doğrulama gerektirmez.
Nasıl düzeltilir
- vllm vllm0.19.0 ya da sonraki bir sürüm
- vllm0.19.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vllm vllm | 0.8.0 ≤ v < 0.19.0 | 0.19.0 |
| vllmPyPI | 0.8.0 ≤ v < 0.19.0 | 0.19.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.