CVE-2026-93592

Yüksek

Açıklama

0.28.0 öncesindeki vLLM sürümleri, /v1/embeddings ve /pooling uç noktalarında token ID'lerinin alt sınırını doğrulamada başarısız olur; bu durum, kimliği doğrulanmamış saldırganların negatif token ID'leri göndererek motorun çökmesine neden olmasına olanak tanır. Negatif bir token ID içeren tek bir istek, GPU bağlamını zehirleyen bir CUDA cihaz tarafı onayı (device-side assertion) tetikler ve işlem yeniden başlatılana kadar sonraki tüm isteklerin başarısız olmasına yol açar.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

ÜrünVllm

Yayın18 Eyl 2026

İlk görülme18 Eyl 2026

Zayıflık türüCWE-129CWE-129

Nasıl düzeltilir

Güncelleyin

vllm vllm0.28.0 ya da sonraki bir sürüm
vllm0.28.0 ya da sonraki bir sürüm

Üretici duyuruları

github.com/vllm-project/vllm/security/advisories/GHSA-25q3-v2hm-8vpf

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
vllm vllm	v < 0.28.0	0.28.0
vllmPyPI	v < 0.28.0	0.28.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.