CVE-2026-116177
Beschrijving NL
vLLM van versie 0.10.2 tot en met 0.25.0 bevat een kwetsbaarheid voor ongecontroleerd resourceverbruik waardoor niet-geauthenticeerde aanvallers het geheugen kunnen uitputten, omdat de Nemotron-VL-processors Image.MAX_IMAGE_PIXELS globaal instellen op None. Aanvallers kunnen een pathologische decompressiebom-image naar /v1/chat/completions sturen om de worker te laten crashen (OOM-kill) en de service aan co-tenants te blokkeren.
Origineel (Engels) tonen
vLLM from 0.10.2 before 0.25.0 contains an uncontrolled resource consumption vulnerability that allows unauthenticated attackers to exhaust memory because the Nemotron-VL processors globally set Image.MAX_IMAGE_PIXELS to None. Attackers can submit a pathological decompression-bomb image to /v1/chat/completions to OOM-kill the worker and deny service to co-tenants.