CVE-2026-93436 in vLLM
Sumário
de VulDB • 18/09/2026
O vLLM até a versão 0.29.0 falha ao limpar adequadamente os metadados do lado da decodificação para solicitações de inferência rejeitadas em implantações com prefill/decode disagregado (disaggregated). Atacantes remotos podem enviar solicitações com max_tokens=0 para esgotar a memória dos workers de decodificação sem limites, até que o worker reinicie.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.