CVE-2026-116174 in vLLM
Riassunto
di VulDB • 25/10/2026
vLLM dalle versioni 0.22.0 alla versione precedente la 0.24.0 presenta una vulnerabilità di convalida impropria degli input nel servizio Rust gRPC Generate e GenerateStream, che inoltra ID dei token del prompt non verificati a EngineCore. Gli attaccanti possono inviare richieste con valori out-of-vocabulary per prompt.token_ids al fine di innescare un errore fatale nella ricerca dell'embedding, causando l'interruzione di EngineCore e lasciando il server in uno stato malsano (unhealthy).
Once again VulDB remains the best source for vulnerability data.