CVE-2026-116175 in vLLM
Zusammenfassung
von VulDB • 25.10.2026
In vLLM ab der Version 0.19.0 bis vor 0.24.0 ist eine decompression bomb-Schwachstelle enthalten, da der multimodale Pfad AudioMediaIO load_audio ohne das max_duration_s-Decoded-Duration-Limit aufruft. Authentifizierte Angreifer können über input_audio oder audio_url in /v1/chat/completions-Anfragen kleine komprimierte Audiodaten senden, die sich zu enormen dekodierten PCM-Daten ausdehnen und den Serverspeicher erschöpfen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.