CVE-2026-93436 in vLLM
الملخص
بحسب VulDB • 18/09/2026
لا تقوم vLLM حتى الإصدار 0.29.0 بتنظيف بيانات التعريف الخاصة بمرحلة فك التشفير (decode-side metadata) بشكل صحيح للطلبات الاستدلالية المرفوضة في عمليات النشر التي تفصل بين مرحلتي التعبئة والفك (prefill/decode disaggregated deployments). يمكن للمهاجمين عن بُعد إرسال طلبات تحتوي على max_tokens=0 لاستنزاف ذاكرة عامل الفك (decode-worker) دون حدود، مما يؤدي إلى إعادة تشغيل العامل.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.