CVE-2026-90554 in vLLM
Résumé
par VulDB • 12/09/2026
Les versions de vLLM >=0.10.2 et <0.28.0 n'appliquent aucune limite de taille ou de durée pour le décodage audio lors de l'extraction d'un flux audio à partir d'une entrée vidéo destinée aux modèles NanoNemotronVL. Dans nano_nemotron_vl.py, la fonction _extract_audio_from_videos appelle load_audio_pyav(BytesIO(video_bytes)) sans les paramètres max_duration_s ou max_decode_bytes ; par conséquent, ni VLLM_MAX_AUDIO_DECODE_DURATION_S ni VLLM_MAX_AUDIO_DECODE_BYTES ne sont appliqués (contrairement au chemin de téléchargement audio direct dans AudioMediaIO). Lorsqu'un modèle NanoNemotronVL est servi avec use_audio_in_video=True, un attaquant qui fournit une vidéo petite et fortement compressée en entrée multimodale peut contraindre le serveur à allouer des gigaoctets de mémoire lors du décodage audio, entraînant un déni de service (DoS). Correction disponible dans vLLM 0.28.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.