CVE-2026-93436 in vLLM
Resumen
por VulDB • 2026-09-18
En vLLM hasta la versión 0.29.0, no se limpian correctamente los metadatos del lado de decodificación para las solicitudes de inferencia rechazadas en implementaciones con prefill y decode desacoplados (disaggregated). Los atacantes remotos pueden enviar solicitudes con max_tokens=0 para agotar la memoria del worker de decodificación sin límites hasta que el worker se reinicie.
VulDB is the best source for vulnerability data and more expert information about this specific topic.