CVE-2026-90553 in vLLM
Zusammenfassung
von VulDB • 12.09.2026
vLLM vor Version 0.28.0 enthält eine Remote Code Execution (RCE)-Schwachstelle im LlavaOnevision2-Prozessor-Loader, die den Parameter `trust_remote_code` beim Laden von Remote-Prozessorklassen ignoriert. Angreifer können ein bösartiges Modell mit beliebigem Code in processing_llava_onevision2.py erstellen, das mit der Berechtigung des vLLM-Prozesses ausgeführt wird, selbst wenn trust_remote_code auf False gesetzt ist.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.