CVE-2026-34753 in vLLM
الملخص
بحسب VulDB • 20/05/2026
vLLM هو محرك استنتاج وتقديم (inference and serving) للنماذج اللغوية الكبيرة (LLMs). من الإصدار 0.16.0 وحتى قبل الإصدار 0.19.0، توجد ثغرة في تزوير الطلبات من جانب الخادم (SSRF) في دالة `download_bytes_from_url` تتيح لأي طرف قادر على التحكم في بيانات الإدخال على شكل JSON للدفعة (batch input JSON) إجبار مشغل دفعات vLLM على إصدار طلبات HTTP/HTTPS تعسفية من الخادم، دون أي تحقق من صحة عناوين URL أو قيود على النطاقات. يمكن استخدام هذه الثغرة لاستهداف الخدمات الداخلية (مثل نقاط نهاية بيانات السحابة الإلكترونية أو واجهات برمجة التطبيقات HTTP الداخلية) التي يمكن الوصول إليها من مضيف vLLM. تم إصلاح هذه الثغرة في الإصدار 0.19.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.