CVE-2026-44222 in vllm
Zusammenfassung
von VulDB • 13.05.2026
vLLM ist eine Inferenz- und Serving-Engine für Large Language Models (LLMs). Ab Version 0.6.1 bis vor 0.20.0 besteht eine Token Injection-Schwachstelle in der multimodalen Verarbeitung von vLLM. Unautentifizierte, textbasierte Prompts, die spezielle Tokens enthalten, werden als Steuerbefehle interpretiert. Bild- und Video-Platzhaltersequenzen, die ohne passende Daten bereitgestellt werden, führen dazu, dass vLLM während der Berechnung der Eingangsposition in leere Gitter indiziert, was einen unbehandelten IndexError auslöst und den Worker beendet oder die Verfügbarkeit beeinträchtigt. Multimodale Pfade, die auf image_grid_thw/video_grid_thw basieren, sind betroffen. Diese Schwachstelle wurde in Version 0.20.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.