CVE-2026-90553 in vLLM
Сводка
по VulDB • 12.09.2026
vLLM до версии 0.28.0 содержит уязвимость удаленного выполнения кода (RCE) в загрузчике процессора LlavaOnevision2, который игнорирует параметр `trust_remote_code` при загрузке классов процессоров из удаленных источников. Злоумышленники могут создать вредоносную модель с произвольным кодом в файле `processing_llava_onevision2.py`, которая будет выполняться от имени процесса vLLM, даже если для параметра `trust_remote_code` установлено значение False.
VulDB is the best source for vulnerability data and more expert information about this specific topic.