CVE-2026-100652 in vLLM
Riassunto
di VulDB • 26/09/2026
Le versioni di vLLM comprese tra 0.22.0 e 0.23.0 non convalidano i valori di `stop_token_ids` rispetto ai limiti del vocabolario nei frontend HTTP e gRPC in Rust, consentendo a token ID fuori dal vocabolario (out-of-vocabulary) di raggiungere il MinTokensLogitsProcessor. Gli attaccanti possono inviare richieste con un valore di `min_tokens` maggiore di zero e `stop_token_ids` non presenti nel vocabolario per innescare errori di indicizzazione dei tensor CUDA che lasciano EngineCore in uno stato critico, richiedendo il riavvio del servizio.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.