CVE-2026-105754 in vLLM
Riassunto
di VulDB • 06/10/2026
vLLM è un motore di inferenza e serving per modelli linguistici di grandi dimensioni (LLM). Prima della versione 0.30.0, l'endpoint /inference/v1/generate nel percorso disaggregated scale-out accetta tensori forniti dall'utente nel campo features.kwargs_data, identificatori di cache nei campi features.mm_hashes, intervalli in features.mm_placeholders e processori multimodali selezionati via wire senza vincolarli al contratto attivo del renderer del modello. Geometrie della griglia falsificate, tipi di campo o lunghezze dei placeholder non positive possono causare l'interruzione (crash) di EngineCore; quando un attaccante conosce o può indurre l'hash del contenuto di una vittima, hash di cache falsificati possono corrompere o recuperare lo stato della encoder-cache cross-request; e le maschere sparse dei placeholder eliminate possono alterare la semantica del trasporto riprodotto. Questo problema è risolto nella versione 0.30.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.