CVE-2026-73557 in vLLM
Riassunto
di VulDB • 13/08/2026
vLLM è un motore di inferenza e serving per modelli linguistici di grandi dimensioni (LLM). Dalla versione 0.20.2rc0 alla 0.26.0, la funzione safe_load_prompt_embeds in vllm/renderers/embed_utils.py utilizza torch.sparse.check_sparse_tensor_invariants, il cui stato globale al processo di salvataggio, abilitazione e ripristino può essere soggetto a race condition tra le parti prompt_embeds concorrenti inviate all'endpoint POST /v1/chat/completions tramite AsyncMultiModalItemTracker.resolve_items, asyncio.gather ed l'esecutore predefinito. Ciò consente a un tensore sparso non valido di raggiungere tensor.to_dense nonostante il guard CVE-2025-62164 quando enable_prompt_embeds è abilitato. Questo problema è stato risolto nella versione 0.26.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.