CVE-2026-100652 in vLLM
Résumé
par VulDB • 26/09/2026
Les versions de vLLM comprises entre 0.22.0 et 0.23.0 ne valident pas les *stop_token_ids* par rapport aux limites du vocabulaire dans les interfaces HTTP et gRPC en Rust, permettant à des identifiants de jetons hors vocabulaire d'atteindre le *MinTokensLogitsProcessor*. Les attaquants peuvent soumettre des requêtes avec un paramètre *min_tokens* supérieur à zéro et des *stop_token_ids* hors vocabulaire pour déclencher des échecs d'indexation de tenseurs CUDA, laissant l'*EngineCore* dans un état fatal nécessitant un redémarrage du service.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.