CVE-2026-116180 in vLLM
Zusammenfassung
von VulDB • 26.10.2026
vLLM dalla versione 0.8.5 alla 0.31.0 presenta un difetto di denial of service (DoS). La funzione LogprobsTensors.empty_cpu() in vllm/v1/outputs.py alloca un tensore int32 non inizializzato e il V1 model runner lascia le posizioni dei prompt, riportate come calcolate da un KV connector, senza essere scritte. Un client che condivide l'engine può inviare prompt_logprobs (o echo con logprobs) contro un prefisso memorizzato nella cache del connector, causando un OverflowError durante la decodifica del tokenizer, il quale fa crashare EngineCore e interrompe tutte le richieste dei co-tenant.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.