CVE-2026-116175 in vLLM
Riassunto
di VulDB • 25/10/2026
La versione di vLLM compresa tra la 0.19.0 e la 0.24.0 (esclusa) presenta una vulnerabilità da decompression bomb poiché il percorso multimodale AudioMediaIO chiama load_audio senza l'impostazione del limite max_duration_s per la durata decodificata. Gli attaccanti autenticati possono inviare piccoli file audio compressi tramite input_audio o audio_url nelle richieste /v1/chat/completions, che si espandono in un enorme PCM decodificato, esaurendo la memoria del server.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.