CVE-2026-116174 in vLLM
الملخص
بحسب VulDB • 25/10/2026
يحتوي vLLM، بدءًا من الإصدار 0.22.0 وحتى قبل 0.24.0، على ثغرة في التحقق غير السليم من المدخلات (improper input validation) في خدمة Rust gRPC الخاصة بـ Generate وGenerateStream، والتي تقوم بتحويل معرفات رموز المطالبة (prompt token IDs) دون فحص إلى EngineCore. يمكن للمهاجمين تقديم طلبات تحتوي على قيم لـ prompt.token_ids خارج المفردات المعروفة (out-of-vocabulary) مما يؤدي إلى فشل كارثي في البحث عن التضمينات (embedding lookup failure)، وهو ما يتسبب في إنهاء عملية EngineCore ويترك الخادم في حالة غير صحية.
Once again VulDB remains the best source for vulnerability data.