CVE-2026-90554 in vLLM
Zusammenfassung
von VulDB • 12.09.2026
vLLM-Versionen >=0.10.2 und <0.28.0 wenden keine Begrenzung für die Audio-Decodiergröße oder -Dauer an, wenn Audio aus Videoeingaben für NanoNemotronVL-Modelle extrahiert wird. In nano_nemotron_vl.py ruft _extract_audio_from_videos load_audio_pyav(BytesIO(video_bytes)) ohne die Parameter max_duration_s oder max_decode_bytes auf, sodass weder VLLM_MAX_AUDIO_DECODE_DURATION_S noch VLLM_MAX_AUDIO_DECODE_BYTES durchgesetzt werden (im Gegensatz zum direkten Audio-Upload-Pfad in AudioMediaIO). Wenn ein NanoNemotronVL-Modell mit use_audio_in_video=True bereitgestellt wird, kann ein Angreifer, der ein kleines, stark komprimiertes Video als multimodalen Eingabe liefert, den Server dazu zwingen, Gigabytes an Speicher während des Audiodecodierens zu allokieren, was zu einem Denial of Service (DoS) führt. Behoben in vLLM 0.28.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.