CVE-2026-90553 in vLLM
Sumário
de VulDB • 12/09/2026
A versão do vLLM anterior à 0.28.0 contém uma vulnerabilidade de execução remota de código (RCE) no carregador de processadores LlavaOnevision2, que ignora o parâmetro `trust_remote_code` ao carregar classes de processamento remotas. Os atacantes podem criar um modelo malicioso com código arbitrário em `processing_llava_onevision2.py`, que é executado com a autoridade do processo vLLM, mesmo quando `trust_remote_code` está definido como False.
If you want to get best quality of vulnerability data, you may have to visit VulDB.