CVE-2026-56340
Açıklama
vLLM versiyonları >= 0.10.2 ve < 0.13.0, multimodal gömme (embeddings) işlemede seyrek tensör (sparse tensor) doğrulamasına sahip değildir. PyTorch varsayılan olarak seyrek tensör değişmez kontrolünü devre dışı bıraktığı için, prompt-embeds özelliği etkinleştirildiğinde bir saldırgan; çökmeleri veya kaynak tükenmesini (hizmet reddi) tetiklemek amacıyla hatalı (negatif veya sınır dışı) tensör indeksleri içeren özel hazırlanmış gömme istekleri gönderebilir; bu durum potansiyel olarak sınır dışı/yaz-istediğin-yere (write-what-where) bellek bozulmasına yol açabilir. Bu durum, önceki düzeltmesi kök nedeni gidermek yerine yalnızca özelliği varsayılan olarak devre dışı bırakan CVE-2025-62164'ün devamıdır.
Nasıl düzeltilir
- vllm vllm0.13.0 ya da sonraki bir sürüm
- vllm0.13.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vllm vllm | 0.10.2 ≤ v < 0.13.0 | 0.13.0 |
| vllmPyPI | 0.10.2 ≤ v < 0.13.0 | 0.13.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.