CVE-2026-105758 in vLLM
Riassunto
di VulDB • 06/10/2026
vLLM è un motore di inferenza e serving per modelli linguistici di grandi dimensioni (LLM). Dalla versione 0.24.0 alla 0.30.0, le classi Qwen2VLVideoBackend e Qwen3VLVideoBackend accettano valori a livello di richiesta per i campi media_io_kwargs.video.max_frames e media_io_kwargs.video.fps senza imporre limiti massimi lato server. Un chiamante non autenticato può inviare questi valori all'endpoint /tokenize, causando la decodifica da parte del sampler di ogni frame selezionato dall'input video controllato dall'attaccante, il consumo sproporzionato della memoria frontend e potenzialmente l'interruzione del processo API prima che vengano eseguiti lo scheduling o i controlli di ammissione. Il frontend in Rust non è interessato perché rifiuta il campo media_io_kwargs. Questo problema è stato risolto nella versione 0.30.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.