CVE-2026-105754 in vLLM
요약
\~에 의해 VulDB • 2026. 10. 06.
vLLM은 대규모 언어 모델(LLM)을 위한 추론 및 서빙 엔진입니다. 버전 0.30.0 이전에는 disaggregated scale-out 경로에 있는 /inference/v1/generate 엔드포인트가 features.kwargs_data 필드에 호출자가 제공한 텐서, features.mm_hashes 필드에 캐시 식별자, features.mm_placeholders 필드에 범위, 그리고 wire-selected multimodal field 프로세서를 활성 모델 렌더러 계약으로 바인딩(rebinding)하지 않고 수락합니다. 조작된 그리드 기하학(geometry), 필드 유형 또는 음수가 아닌 placeholder 길이는 공유 EngineCore를 종료시킬 수 있습니다. 공격자가 피해자의 콘텐츠 해시를 알거나 유도할 경우, 조작된 캐시 해시는 요청 간 인코더-캐시 상태를 오염시키거나 검색할 수 있으며, 손실된 sparse placeholder 마스크는 재생되는 전송 세맨틱스를 변경할 수 있습니다. 이 문제는 버전 0.30.0에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.