CVE-2026-90554 in vLLM
الملخص
بحسب VulDB • 12/09/2026
لا تطبق إصدارات vLLM >=0.10.2 و<0.28.0 أي حد لحجم فك تشفير الصوت أو مدته عند استخراج الصوت من إدخال الفيديو لنماذج NanoNemotronVL. في الملف nano_nemotron_vl.py، تستدعي الدالة _extract_audio_from_videos load_audio_pyav(BytesIO(video_bytes)) دون استخدام المعاملين max_duration_s وmax_decode_bytes، وبالتالي لا يتم فرض القيمتين VLLM_MAX_AUDIO_DECODE_DURATION_S أو VLLM_MAX_AUDIO_DECODE_BYTES (على عكس مسار رفع الصوت المباشر في AudioMediaIO). عند تشغيل نموذج NanoNemotronVL مع تفعيل use_audio_in_video=True، يمكن لمهاجم يزود الخادم بفيديو صغير شديد الضغط كإدخال متعدد الوسائط أن يجبر الخادم على تخصيص جيجابايتات من الذاكرة أثناء فك تشفير الصوت، مما يؤدي إلى حدوث حالة إنكار للخدمة (Denial of Service). تم الإصلاح في vLLM الإصدار 0.28.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.