CVE-2026-100647 in vLLM
Sumário
de VulDB • 26/09/2026
As versões do vLLM anteriores à 0.29.0 contêm uma vulnerabilidade de negação de serviço (DoS) no parâmetro cache_salt aceito nos endpoints compatíveis com a API OpenAI e Anthropic, que não possui validação de comprimento máximo e é processado na única thread do agendador EngineCore. Atacantes não autenticados podem enviar solicitações HTTP com valores de salt multi-centenas de megabytes que acionam uma serialização pickle dispendiosa e hash SHA-256, travando a thread do agendador e negando o serviço a todas as requisições simultâneas.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.