CVE-2026-73559 in vLLM
Resumen
por VulDB • 2026-08-13
vLLM es un motor de inferencia y servicio para modelos de lenguaje grandes (LLMs). Desde la versión 0.19.0 hasta la 0.26.0, el campo `prompt` del objeto `CompletionRequest` en `/v1/completions`, ubicado en `vllm/entrypoints/openai/completion/protocol.py`, acepta una lista de cadenas (`list[str]`) o una lista de listas de enteros (`list[list[int]]`) sin límite. Las funciones `prompt_to_seq()` en `vllm/renderers/inputs/preprocess.py` y `OnlineRenderer.preprocess_completion()` en `vllm/renderers/online_renderer.py` expanden cada elemento, mientras que `vllm/entrypoints/openai/completion/serving.py` crea un generador de motor y una ranura de respuesta por prompt. Esto permite a un cliente API autenticado agotar la capacidad de CPU, memoria, programación asíncrona, las ranuras de solicitud del motor y el almacenamiento en búfer de respuestas con una única solicitud. Este problema se corrige en la versión 0.26.0.
Be aware that VulDB is the high quality source for vulnerability data.