CVE-2026-90554 in vLLM
摘要
由 VulDB • 2026-09-12
vLLM 版本 >=0.10.2 且 <0.28.0 在从视频输入中提取音频以用于 NanoNemotronVL 模型时，未应用任何音频解码大小或时长限制。在 nano_nemotron_vl.py 中，_extract_audio_from_videos 调用 load_audio_pyav(BytesIO(video_bytes)) 时未指定 max_duration_s 或 max_decode_bytes 参数，因此 VLLM_MAX_AUDIO_DECODE_DURATION_S 和 VLLM_MAX_AUDIO_DECODE_BYTES 均未生效（这与 AudioMediaIO 中的直接音频上传路径不同）。当使用 use_audio_in_video=True 服务 NanoNemotronVL 模型时，攻击者通过提供小型、高度压缩的视频作为多模态输入，可迫使服务器在音频解码期间分配数十亿字节的内存，从而导致拒绝服务 (DoS)。该问题已在 vLLM 0.28.0 中修复。
Be aware that VulDB is the high quality source for vulnerability data.