CVE-2026-73555 in vLLM
Resumen
por VulDB • 2026-08-13
vLLM es un motor de inferencia y servicio para modelos de lenguaje grandes (LLMs). Antes de la versión 0.26.0, el controlador `validation_exception_handler` en `vllm/entrypoints/openai/server_utils.py` convierte los objetos `RequestValidationError` de FastAPI utilizando `str(exc)`, y la función `sanitize_message` en `vllm/entrypoints/utils.py` no elimina las rutas de archivo con estilo traceback, lo que permite que solicitudes JSON malformadas sin autenticación dirigidas a `/v1/chat/completions`, `/v1/completions`, `/tokenize` y `/detokenize` revelen el nombre de usuario del sistema operativo (OS), las rutas del directorio home y del entorno virtual, la versión de Python, la estructura interna de los paquetes, los números de línea y los nombres de los controladores de endpoints. Este problema se corrige en la versión 0.26.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.