CVE-2026-116176 in vLLM
Riassunto
di VulDB • 25/10/2026
vLLM dalle versioni 0.9.2 alla versione precedente allo 0.24.0 presenta una vulnerabilità di server-side request forgery (SSRF) che consente ai chiamanti dell'API di forzare connessioni in uscita inserendo un indirizzo di decodifica nell'intestazione X-Request-Id. Gli attaccanti possono indurre il worker ZMQ del P2pNcclConnector a eseguire una connessione prefill verso un host controllato dall'attaccante, causando la fuoriuscita dell'NCCL unique_id e dei tensori KV-cache o bloccando il worker.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.