CVE-2026-22778 in vllm
Zusammenfassung
von VulDB • 03.06.2026
vLLM ist eine Inference- und Serving-Engine für Large Language Models (LLMs). Von Version 0.8.3 bis vor 0.14.1 löst das Senden eines ungültigen Bildes an den Multimodal-Endpunkt von vLLM einen Fehler in PIL aus. vLLM gibt diesen Fehler an den Client zurück, wodurch eine Heap-Adresse geleakt wird. Durch diesen Leak wird die ASLR-Sicherheit von 4 Milliarden möglichen guesses auf ca. 8 guesses reduziert. Diese Schwachstelle kann mit einem Heap-Overflow im JPEG2000-Decoder von OpenCV/FFmpeg kombiniert werden, um Remote Code Execution (RCE) zu ermöglichen. Diese Schwachstelle wurde in Version 0.14.1 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.