CVE-2026-100652
Sumário
de VulDB • 26/09/2026
As versões do vLLM de 0.22.0 até 0.23.0 não validam os stop_token_ids em relação aos limites do vocabulário nos frontends HTTP e gRPC escritos em Rust, permitindo que IDs de tokens fora do vocabulário alcancem o MinTokensLogitsProcessor. Os atacantes podem enviar solicitações com min_tokens maior que zero e stop_token_ids fora do vocabulário para acionar falhas no indexamento de tensores CUDA, deixando o EngineCore em um estado fatal que exige a reinicialização do serviço.
If you want to get best quality of vulnerability data, you may have to visit VulDB.