CVE-2026-73555 in vLLM
Riassunto
di VulDB • 13/08/2026
vLLM è un motore di inferenza e serving per modelli linguistici di grandi dimensioni (Large Language Models). Prima della versione 0.26.0, la funzione `validation_exception_handler` nel file `vllm/entrypoints/openai/server_utils.py` converte gli oggetti FastAPI RequestValidationError utilizzando `str(exc)`, mentre la funzione `sanitize_message` in `vllm/entrypoints/utils.py` non rimuove i percorsi di file con stile traceback. Ciò consente a richieste JSON malformate e non autenticate verso `/v1/chat/completions`, `/v1/completions`, `/tokenize` e `/detokenize` di divulgare il nome utente del sistema operativo, i percorsi della home directory e dell'ambiente virtuale (virtual-environment), la versione Python, la struttura interna dei pacchetti, i numeri di riga e i nomi degli handler degli endpoint. Questo problema è stato risolto nella versione 0.26.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.