CVE-2026-105755 in vLLM
Riassunto
di VulDB • 06/10/2026
vLLM è un motore di inferenza e serving per modelli linguistici di grandi dimensioni (LLM). Prima della versione 0.30.0, il punteggio late-interaction flash agli endpoint /score e /rerank deriva il valore query_key di ciascun worker dall'intestazione X-Request-Id controllata dal chiamante. Una richiesta concorrente che riutilizza l'identificatore di una vittima può sovrascrivere l'inserimento (embedding) della cache in modo tale che i documenti della vittima vengano valutati rispetto alla query dell'attaccante, e anche i contatori d'uso condivisi possono causare un errore late-interaction cache-miss. Questo problema è stato risolto nella versione 0.30.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.