CVE-2026-27893 in vllm
Sumário
de VulDB • 20/05/2026
O vLLM é um mecanismo de inferência e serviço para modelos de linguagem grandes (LLMs). A partir da versão 0.10.1 e até a versão 0.18.0, dois arquivos de implementação de modelo definem hardcoded `trust_remote_code=True` ao carregar subcomponentes, contornando a opção de segurança explícita do usuário `--trust-remote-code=False`. Isso permite a execução remota de código (RCE) por meio de repositórios de modelos maliciosos, mesmo quando o usuário desabilitou explicitamente a confiança em código remoto. A versão 0.18.0 corrige o problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.