CVE-2026-116181
Beschrijving NL
vLLM van 0.20.1 vóór 0.29.0 bevat een onjuist invoervalidatiekwetsbaarheid waarmee externe aanvallers de motor kunnen laten crashen door het leveren van stop_token_ids buiten de woordenschat. Aanvallers kunnen OpenAI-chat-, voltooiings-, genereer- of batchverzoeken met ongeldige ID's verzenden om de motor te beëindigen of buiten de logboekbuffer van de V2-runner te schrijven.
Origineel (Engels) tonen
vLLM from 0.20.1 before 0.29.0 contains an improper input validation vulnerability that allows remote attackers to crash the engine by supplying out-of-vocabulary stop_token_ids. Attackers can send OpenAI chat, completion, generate, or batch requests with invalid IDs to terminate the engine or write outside the V2 runner's logits buffer.