CVE-2026-116175 in vLLM
الملخص
بحسب VulDB • 25/10/2026
تحتوي vLLM، بدءًا من الإصدار 0.19.0 وحتى قبل الإصدار 0.24.0، على ثغرة "قنبلة ضغط" (decompression bomb) لأن المسار متعدد الوسائط AudioMediaIO يستدعي load_audio دون تحديد حد أقصى للمدة الزمنية للتحليل (max_duration_s). يمكن للمهاجمين المصادَق عليهم إرسال ملفات صوت مضغوطة صغيرة عبر input_audio أو audio_url في طلبات /v1/chat/completions، مما يؤدي إلى توسع كبير عند تحليل الصوت إلى PCM ضخم واستهلاك ذاكرة الخادم بالكامل.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.