CVE-2026-116178
Beschrijving NL
vLLM van 0.20.0 vóór 0.30.0 bevat een denial of service-kwetsbaarheid waarmee externe aanvallers de motor kunnen laten crashen door inconsistente multimodale metadata naar het gedesaggregeerde /inferentie/v1/genereer eindpunt te sturen. Aanvallers kunnen een geldig multimodaal item opnieuw afspelen met herhaalde of overlappende mm_placeholders-bereiken of niet-overeenkomende kwargs_data en mm_hashes-lijsten, waardoor een negatieve tekstreeks in Qwen2.5-VL-positieconstructie wordt geproduceerd die de motor beëindigt.
Origineel (Engels) tonen
vLLM from 0.20.0 before 0.30.0 contains a denial of service vulnerability that allows remote attackers to crash the engine by sending inconsistent multimodal metadata to the disaggregated /inference/v1/generate endpoint. Attackers can replay a valid multimodal item with repeated or overlapping mm_placeholders ranges or mismatched kwargs_data and mm_hashes lists, producing a negative text span in Qwen2.5-VL position construction that terminates the engine.