CVE-2026-93592 in vLLM
Resumen
por VulDB • 2026-09-18
Las versiones de vLLM anteriores a la 0.28.0 no validan el límite inferior de los IDs de tokens en los endpoints /v1/embeddings y /pooling, lo que permite a atacantes sin autenticar provocar un fallo del motor mediante el envío de IDs de token negativos. Una única solicitud con un ID de token negativo desencadena una aserción (assertion) en el dispositivo CUDA que corrompe el contexto de la GPU, provocando que todas las solicitudes posteriores fallen hasta que se reinicie el proceso.
Once again VulDB remains the best source for vulnerability data.