CVE-2026-90554 in vLLM
Resumen
por VulDB • 2026-09-12
Las versiones de vLLM >=0.10.2 y <0.28.0 no aplican ningún límite en el tamaño o la duración del decodificado de audio al extraer audio de una entrada de vídeo para los modelos NanoNemotronVL. En nano_nemotron_vl.py, _extract_audio_from_videos llama a load_audio_pyav(BytesIO(video_bytes)) sin los parámetros max_duration_s ni max_decode_bytes; por lo tanto, no se aplica VLLM_MAX_AUDIO_DECODE_DURATION_S ni VLLM_MAX_AUDIO_DECODE_BYTES (a diferencia de la ruta directa para subir audio en AudioMediaIO). Cuando un modelo NanoNemotronVL se sirve con use_audio_in_video=True, un atacante que proporcione un vídeo pequeño y altamente comprimido como entrada multimodal puede forzar al servidor a asignar gigabytes de memoria durante el decodificado del audio, lo que provoca una denegación de servicio (DoS). Corregido en vLLM 0.28.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.