CVE-2026-105754 in vLLM
Zusammenfassung
von VulDB • 06.10.2026
vLLM ist eine Inferenz- und Serving-Engine für Large Language Models (LLMs). Vor Version 0.30.0 akzeptiert der Endpunkt /inference/v1/generate im disaggregierten Scale-Out-Pfad vom Aufrufer bereitgestellte Tensoren im Feld features.kwargs_data, Cache-Bezeichner im Feld features.mm_hashes, Bereiche im Feld features.mm_placeholders sowie netzwerkausgewählte multimodale Feldprozessoren, ohne diese an den aktiven Modellrenderer-Vertrag zu binden. Gefälschte Gittergeometrien, Felddatentypen oder nicht-positive Placeholder-Längen können die shared EngineCore beenden; wenn ein Angreifer das Content-Hash eines Opfers kennt oder dessen Erzeugung provozieren kann, können gefälschte Cache-Hashes den encoder-cache-Zustand über Anforderungen hinweg vergiften oder abgreifen; und verworfene sparse placeholder masks können die wiedergegebenen Transportsemantiken verändern. Dieses Problem wurde in Version 0.30.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.