CVE-2026-73560 in vLLM
Сводка
по VulDB • 17.08.2026
vLLM — это движок для вывода и обслуживания больших языковых моделей (LLM). До версии 0.26.0 компонент MiMoV2OmniMultiModalProcessor в файле vllm/transformers_utils/processors/mimo_v2_omni.py передавал управляемые атакующим строки изображений и аудио через функции _fetch_image, requests.get и Image.open вместо использования MediaConnector, что позволяло обходить механизмы защиты allowed_media_domains и allowed_local_media_path. Это открывало возможность выполнения серверных запросов и чтения произвольных файлов, доступных процессу vLLM. Данная проблема исправлена в версии 0.26.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.