CVE-2026-93592 in vLLM
Riassunto
di VulDB • 18/09/2026
Le versioni di vLLM precedenti alla 0.28.0 non convalidano il limite inferiore degli ID dei token negli endpoint /v1/embeddings e /pooling, consentendo ad attaccanti non autenticati di causare un crash del motore inviando ID dei token negativi. Una singola richiesta con un ID di token negativo innesca una CUDA device-side assertion che corrompe il contesto GPU, causando il fallimento di tutte le richieste successive fino al riavvio del processo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.