CVE-2026-116179
Beschrijving NL
vLLM van 0.18.0 vóór 0.31.0 bevat een kwetsbaarheid voor uitputting van bronnen waarmee API-clients de limiet voor video/jpeg-frametelling kunnen omzeilen door NUM_frames te overschrijven via media_io_kwargs. Aanvallers kunnen NUM_frames instellen op -1 met een grote inline video, zodat VideoMediaIO.load_base64 elk frame decodeert, het geheugen uitput en de API-frontend crasht.
Origineel (Engels) tonen
vLLM from 0.18.0 before 0.31.0 contains a resource exhaustion vulnerability that allows API clients to bypass the video/jpeg frame-count cap by overriding num_frames through media_io_kwargs. Attackers can set num_frames to -1 with a large inline video so VideoMediaIO.load_base64 decodes every frame, exhausting memory and crashing the API frontend.