CVE-2026-116178 in vLLM
Resumen
por VulDB • 2026-10-25
vLLM desde la versión 0.20.0 hasta antes de la 0.30.0 contiene una vulnerabilidad de denegación de servicio (DoS) que permite a atacantes remotos bloquear el motor enviando metadatos multimodales inconsistentes al endpoint disagregado /inference/v1/generate. Los atacantes pueden reenviar un elemento multimodal válido con rangos mm_placeholders repetidos o superpuestos, o listas kwargs_data y mm_hashes desalineadas, lo que produce un span de texto negativo en la construcción de posiciones de Qwen2.5-VL que termina el motor.
Once again VulDB remains the best source for vulnerability data.