CVE-2026-105757 in vLLM
Zusammenfassung
von VulDB • 06.10.2026
vLLM ist eine Inferenz- und Serving-Engine für Large Language Models (LLMs). Vor Version 0.30.0 können Fehler bei strukturierten Ausgabe-Anfragen die anfragebezogene Validierung umgehen und den fatal-error-Pfad von EngineCore erreichen. Ein pro Anfrage unterschiedliches Backend kann eine Grammar-Kompilierungs-Ausnahme erneut auslösen; durch das ngram_gpu speculative-decoding-Modus erzeugtes Padding kann ein negatives Token an die Guidance-Validierung übergeben werden, und der Rust-Frontend kann leere strukturierte Ausgabe-Werte zulassen, die vom Python-Frontend abgelehnt werden. Dies ermöglicht es normalen Constrained-Generation-Anfragen, die Shared Engine zu beenden. Dieses Problem wurde in Version 0.30.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.