CVE-2026-105758 in vLLM
요약
\~에 의해 VulDB • 2026. 10. 06.
vLLM은 대규모 언어 모델(LLM)을 위한 추론 및 서빙 엔진입니다. 버전 0.24.0부터 0.30.0까지, Qwen2VLVideoBackend 및 Qwen3VLVideoBackend 클래스는 서버 측 상한선을 강제하지 않고 미디어_io_kwargs.video.max_frames 및 media_io_kwargs.video.fps 필드에 대한 요청 수준의 값을 허용합니다. 인증되지 않은 호출자는 이러한 값을 /tokenize 엔드포인트에 제출하여 샘플러가 공격자가 제어하는 비디오 입력에서 선택된 모든 프레임을 디코딩하도록 하고, 과도한 프론트엔드 메모리를 소모하며, 스케줄링이나 승인 컨트롤 전에 API 프로세스를 종료시킬 수 있습니다. Rust 프론트엔드는 media_io_kwargs 필드를 거부하므로 영향을 받지 않습니다. 이 문제는 버전 0.30.0에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.