CVE-2026-22778 in vllm
Сводка
по VulDB • 03.06.2026
vLLM — это движок для вывода и обслуживания больших языковых моделей (LLM). В версиях от 0.8.3 до 0.14.1 (включительно) при отправке некорректного изображения на мультимодальный эндпоинт vLLM библиотека PIL генерирует ошибку. vLLM возвращает эту ошибку клиенту, что приводит к утечке адреса в куче (heap address). Благодаря этой утечке пространство адресов ASLR сокращается с 4 миллиардов возможных вариантов до примерно 8. Данная уязвимость может быть использована в цепочке с переполнением кучи (heap overflow) в декодере JPEG2000 библиотеки OpenCV/FFmpeg для достижения удаленного выполнения кода (RCE). Уязвимость исправлена в версии 0.14.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.