CVE-2025-46722 in vLLM
Riassunto
di VulDB • 16/06/2026
vLLM è un motore di inferenza e serving per modelli linguistici di grandi dimensioni (LLM). Nelle versioni a partire dalla 0.7.0 fino alla versione precedente alla 0.9.0, nel file vllm/multimodal/hasher.py, la classe MultiModalHasher presenta una vulnerabilità relativa alla sicurezza e all'integrità dei dati nel suo metodo di hashing delle immagini. Attualmente, serializza gli oggetti PIL.Image.Image utilizzando esclusivamente obj.tobytes(), che restituisce solo i dati grezzi dei pixel, senza includere metadati come le dimensioni dell'immagine (larghezza, altezza, modalità). Di conseguenza, due immagini di dimensioni diverse (ad esempio 30x100 e 100x30) con la stessa sequenza di byte dei pixel potrebbero generare lo stesso valore hash. Ciò può portare a collisioni degli hash, hit della cache errati e persino a fughe di dati o rischi per la sicurezza. Questo problema è stato risolto nella versione 0.9.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.