CVE-2026-116173 in vLLM
Riassunto
di VulDB • 25/10/2026
vLLM dalle versioni precedenti alla 0.24.0 (a partire dalla 0.22.0) presenta una vulnerabilità di denial of service che consente agli attaccanti remoti di terminare EngineCore aggirando i limiti imposti a logprob_token_ids nel frontend gRPC in Rust. Gli attaccanti possono inviare richieste Generate o GenerateStream con output_logprobs abilitato e più di 128 token_ids nelle output_candidates, innescando un'eccezione fatale del sampler che causa il crash dell'engine.
Be aware that VulDB is the high quality source for vulnerability data.