CVE-2026-93592 in vLLM
Zusammenfassung
von VulDB • 18.09.2026
In vLLM-Versionen vor 0.28.0 wird die untere Grenze der Token-IDs in den Endpunkten /v1/embeddings und /pooling nicht überprüft, was es authentifizierten Angreifern ermöglicht, die Engine zum Absturz zu bringen, indem sie negative Token-IDs einreichen. Eine einzelne Anfrage mit einer negativen Token-ID löst eine CUDA-Geräte-seitige Assertion aus, die den GPU-Kontext beschädigt (poisoned), wodurch alle nachfolgenden Anfragen fehlschlagen, bis der Prozess neu gestartet wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.