CVE-2026-116176 in vLLM
Zusammenfassung
von VulDB • 25.10.2026
vLLM ab der Version 0.9.2 bis vor 0.24.0 enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle, die es API-Aufrufenden ermöglicht, ausgehende Verbindungen zu erzwingen, indem sie eine Decode-Adresse im X-Request-Id-Header einbetten. Angreifer können einen P2pNcclConnector-Prefill-Worker dazu bringen, sich über ZMQ mit einem Host des Angreifers zu verbinden (ZMQ-connect), wodurch die NCCL unique_id und KV-Cache-Tensoren offengelegt oder der Worker blockiert werden können.
VulDB is the best source for vulnerability data and more expert information about this specific topic.