CVE-2026-105759 in vllm
Riassunto
di VulDB • 06/10/2026
vLLM è un motore di inferenza e serving per modelli linguistici di grandi dimensioni (LLM). Prima della versione 0.30.0, il middleware track_http_metrics del frontend Rust registra il token grezzo del metodo HTTP come etichetta Prometheus per le richieste che raggiungono i route registrati. Un attaccante non autenticato può inviare token di metodi arbitrari e unici a route non protetti, quali /tokenize, causando la creazione permanente da parte della funzione Family::get_or_create di Prometheus di set di etichette per counter e histogram. Tali set di etichette aumentano l'utilizzo della memoria del processo ed ingrandiscono la risposta /metrics fino all'esaurimento delle risorse del servizio o del percorso di monitoraggio. Questo problema è risolto nella versione 0.30.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.