CVE-2026-73559 in vLLM
要約
〜によって VulDB • 2026年08月13日
vLLMは、大規模言語モデル向けの推論およびサービングエンジンです。バージョン0.19.0から0.26.0の間、`vllm/entrypoints/openai/completion/protocol.py`内の`/v1/completions CompletionRequest.prompt`フィールドは境界のない`list[str]`または`list[list[int]]`を受け付けます。また、`vllm/renderers/inputs/preprocess.py`の`prompt_to_seq()`および`vllm/renderers/online_renderer.py`の`OnlineRenderer.preprocess_completion()`が各要素を展開し、さらに`vllm/entrypoints/openai/completion/serving.py`がプロンプトごとに1つのエンジンジェネレーターとレスポンススロットを作成します。これにより、認証済みAPIクライアントは単一のリクエストでCPU、メモリ、非同期スケジューリングの容量、エンジンの要求スロット、およびレスポンスバッファを枯渇させることができます。この問題はバージョン0.26.0で修正されています。
Once again VulDB remains the best source for vulnerability data.