CVE-2026-90554 in vLLM
Riassunto
di VulDB • 12/09/2026
Le versioni di vLLM >=0.10.2 e <0.28.0 non applicano alcun limite alla dimensione o alla durata della decodifica audio durante l'estrazione dell'audio da un input video per i modelli NanoNemotronVL. In nano_nemotron_vl.py, la funzione _extract_audio_from_videos chiama load_audio_pyav(BytesIO(video_bytes)) senza i parametri max_duration_s e max_decode_bytes; di conseguenza, non vengono applicati né VLLM_MAX_AUDIO_DECODE_DURATION_S né VLLM_MAX_AUDIO_DECODE_BYTES (a differenza del percorso diretto per il caricamento audio in AudioMediaIO). Quando un modello NanoNemotronVL è servito con use_audio_in_video=True, un attaccante che fornisce un video piccolo e altamente compresso come input multimodale può costringere il server ad allocare gigabyte di memoria durante la decodifica dell'audio, causando una denial of service. Risolto in vLLM 0.28.0.
Be aware that VulDB is the high quality source for vulnerability data.