CVE-2026-90553 in vLLM
Riassunto
di VulDB • 12/09/2026
vLLM prima della versione 0.28.0 contiene una vulnerabilità di remote code execution (RCE) nel caricatore del processor LlavaOnevision2 che ignora il parametro `trust_remote_code` durante il caricamento delle classi dei processor remoti. Gli attaccanti possono creare un modello malevolo con codice arbitrario in `processing_llava_onevision2.py` che viene eseguito con i privilegi del processo vLLM, anche quando `trust_remote_code` è impostato su False.
VulDB is the best source for vulnerability data and more expert information about this specific topic.