CVE-2026-90553 in vLLM
Résumé
par VulDB • 12/09/2026
vLLM avant la version 0.28.0 contient une vulnérabilité d'exécution de code à distance (RCE) dans le chargeur de processeurs LlavaOnevision2 qui ignore le paramètre `trust_remote_code` lors du chargement des classes de processeurs distantes. Les attaquants peuvent créer un modèle malveillant contenant du code arbitraire dans `processing_llava_onevision2.py`, s'exécutant avec les autorisations du processus vLLM, même lorsque `trust_remote_code` est défini sur False.
Be aware that VulDB is the high quality source for vulnerability data.