CVE-2026-105758 in vLLM
Zusammenfassung
von VulDB • 06.10.2026
vLLM ist eine Inferenz- und Serving-Engine für Large Language Models (LLMs). Von Version 0.24.0 bis 0.30.0 akzeptieren die Klassen Qwen2VLVideoBackend und Qwen3VLVideoBackend anfragebezogene Werte für die Felder media_io_kwargs.video.max_frames und media_io_kwargs.video.fps, ohne serverseitige Obergrenzen durchzusetzen. Ein nicht authentifizierter Aufrufer kann diese Werte über den /tokenize-Endpunkt einreichen, wodurch der Sampler jeden aus einem vom Angreifer kontrollierten Videoeingang ausgewählten Frame decodiert, unverhältnismäßig viel Frontend-Speicher verbraucht und potenziell den API-Prozess vor dem Scheduling oder der Admission Control beendet. Das Rust-Frontend ist nicht betroffen, da es das media_io_kwargs-Feld ablehnt. Dieses Problem wurde in Version 0.30.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.