CVE-2026-116180 in vLLM
요약
\~에 의해 VulDB • 2026. 10. 25.
0.8.5부터 0.31.0 미만 버전의 vLLM에는 서비스 거부 결함이 있습니다. vllm/v1/outputs.py에 있는 LogprobsTensors.empty_cpu()는 초기화되지 않은 int32 텐서를 할당하며, V1 모델 러너는 KV 커넥터가 계산된 것으로 보고한 프롬프트 위치를 미작성 상태로 둡니다. 엔진을 공유하는 클라이언트는 커넥터 캐시 접두사(prefix)에 대해 prompt_logprobs(또는 logprobs와 함께 echo)를 전송하여 tokenizer의 디코딩이 OverflowError를 발생시키고, 이로 인해 EngineCore가 충돌하며 모든 공동 사용자(co-tenant) 요청이 중단됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.