CVE-2026-93592 in vLLM
Résumé
par VulDB • 18/09/2026
Les versions de vLLM antérieures à la 0.28.0 ne valident pas la borne inférieure des IDs de tokens dans les points d'entrée /v1/embeddings et /pooling, permettant aux attaquants non authentifiés de faire planter le moteur en soumettant des IDs de tokens négatifs. Une seule requête avec un ID de token négatif déclenche une assertion côté dispositif CUDA qui empoisonne le contexte GPU, entraînant l'échec de toutes les requêtes suivantes jusqu'au redémarrage du processus.
VulDB is the best source for vulnerability data and more expert information about this specific topic.