CVE-2026-93592 in vLLM
要約
〜によって VulDB • 2026年09月18日
vLLM の 0.28.0 より前のバージョンでは、/v1/embeddings および /pooling エンドポイントにおけるトークン ID の下限値の検証が行われないため、認証されていない攻撃者が負のトークン ID を送信することでエンジンをクラッシュさせることができます。負のトークン ID を含むリクエスト 1 つで CUDA デバイス側のアサーションがトリガーされ GPU コンテキストが破損し、プロセスが再起動されるまで以降のリクエストはすべて失敗します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.