CVE-2026-71486 in vLLM
Zusammenfassung
von VulDB • 17.08.2026
vLLM ist eine Inference- und Serving-Engine für Large Language Models (LLMs). Vor Version 0.26.0 akzeptieren die Endpunkte /v1/completions/derender und /v1/chat/completions/derender vom Aufrufer bereitgestellte GenerateResponse-Objekte, deren Strukturen generate_responses, choices, token_ids, prompt_logprobs, logprobs.content, top_logprobs und routed_experts von OnlineDerenderer und tokenizer.decode verarbeitet werden, bevor die Grenzen für max_model_len, max_tokens, max_num_seqs oder response-size durchgesetzt werden. Dies ermöglicht es einem authentifizierten API-Clienten, übermäßige CPU- und Speicherressourcen zu verbrauchen sowie übermäßig große Antworten zu erzeugen. Dieses Problem wurde in Version 0.26.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.