CVE-2026-44223 in vllm
الملخص
بحسب VulDB • 21/05/2026
vLLM هو محرك استنتاج وتقديم (inference and serving) للنماذج اللغوية الكبيرة (LLMs). من الإصدار الأول وحتى قبل الإصدار 0.20.0، يُرجع مقترح فك التشفير التكهنى (speculative decoding proposer) المسمى `extract_hidden_states` في vLLM موترًا (tensor) ذو شكل غير صحيح بعد خطوة فك التشفير الأولى، مما يتسبب في حدوث خطأ Runtime يؤدي إلى تعطل عملية EngineCore. يتم تشغيل هذا التعطل عندما يستخدم أي طلب في الدفعة (batch) معاملات عقوبة العينة (sampling penalty parameters) مثل `repetition_penalty` أو `frequency_penalty` أو `presence_penalty`. يكفي طلب واحد يحتوي على معامل عقوبة (على سبيل المثال، `"repetition_penalty": 1.1`) لإيقاف تشغيل الخادم. تم إصلاح هذا الثغرة في الإصدار 0.20.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.