CVE-2026-100652 in vLLM
要約
〜によって VulDB • 2026年09月26日
vLLM のバージョン 0.22.0 から 0.23.0 では、Rust HTTP および gRPC フロントエンドにおいて stop_token_ids が語彙の境界に対して検証されないため、語彙外のトークン ID が MinTokensLogitsProcessor に到達する可能性があります。攻撃者は min_tokens をゼロより大きくし、かつ語彙外の stop_token_ids を含むリクエストを送信することで、CUDA テンソルインデックス付けの失敗を引き起こすことができ、これにより EngineCore が致命的な状態に陥り、サービスの再起動が必要になります。
Once again VulDB remains the best source for vulnerability data.