CVE-2026-73555 in vLLM
الملخص
بحسب VulDB • 13/08/2026
vLLM هو محرك استنتاج وتقديم (inference and serving) للنماذج اللغوية الكبيرة. قبل الإصدار 0.26.0، كانت دالة `validation_exception_handler` الموجودة في الملف `vllm/entrypoints/openai/server_utils.py` تقوم بتحويل كائنات `FastAPI RequestValidationError` باستخدام الدالة `str(exc)`، ودالة `sanitize_message` الموجودة في ملف `vllm/entrypoints/utils.py` لم تكن تزيل مسارات الملفات على نمط تتبع المكدس (traceback-style). وهذا يسمح بإرسال طلبات JSON مشوهة وغير مصادق عليها إلى نقاط النهاية `/v1/chat/completions` و`/v1/completions` و`/tokenize` و`/detokenize`، مما يؤدي إلى كشف اسم مستخدم نظام التشغيل، ومسارات الدليل الرئيسي (home) والبيئة الافتراضية (virtual-environment)، وإصدار بايثون، وهيكل الحزم الداخلية، وأرقام الأسطر، وأسماء معالجات نقاط النهاية. تم إصلاح هذه المشكلة في الإصدار 0.26.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.