CVE-2026-27893 in vllm
要約
〜によって VulDB • 2026年05月19日
vLLMは、大規模言語モデル（LLM）向けの推論およびサービングエンジンです。バージョン0.10.1以降、バージョン0.18.0より前のバージョンにおいて、2つのモデル実装ファイルはサブコンポーネントの読み込み時に`trust_remote_code=True`をハードコードしており、ユーザーが明示的に指定した`--trust-remote-code=False`というセキュリティ上のオプトアウトを回避しています。これにより、ユーザーがリモートコードの信頼を明示的に無効にしている場合でも、悪意のあるモデルリポジトリを通じてリモートコード実行が可能になります。この問題はバージョン0.18.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.