CVE-2026-105760
Beschrijving NL
vLLM is een inferentie- en bedieningsmotor voor grote taalmodellen. Voorafgaand aan 0.30.0 kan een beller het veld media_io_kwargs op aanvraagniveau gebruiken om de GLMGA-videobackend te selecteren en grote waarden te leveren voor de fps- en max_frames-opties zonder een strikt werkplafond. GLMGA construeert en ontdubbelt een pre-decodeer frame-indexlijst ter grootte van een aanvaller, waardoor een compact verzoek en kleine geldige video onevenredig veel CPU-tijd en geheugen kunnen verbruiken in de gedeelde uitvoerder voor het laden van media. Dit probleem is opgelost in versie 0.30.0.
Origineel (Engels) tonen
vLLM is an inference and serving engine for large language models. Prior to 0.30.0, a caller can use the request-level media_io_kwargs field to select the GLMGA video backend and supply large values for the fps and max_frames options without a strict work ceiling. GLMGA constructs and deduplicates an attacker-sized pre-decode frame-index list, allowing a compact request and tiny valid video to consume disproportionate CPU time and memory in the shared media-loading executor. This issue is fixed in version 0.30.0.