Jsgforever

يمكن لعميل عن بُعد يصل إلى واجهة برمجة تطبيقات (API) المتوافقة مع OpenAI التسبب في حالة رفض الخدمة عن طريق إرسال صورة قانونية محددة يكون مجموع بكسلاتها المعيارية صفرًا عندما يتم معالجتها بمفردها في دفعة مشفرة لكل خطوة. يؤدي هذا التسلسل إلى قيام الدالة ` parse and validate image input` بإرجاع قيمة فارغة (no embedding)، والتي يتم تمريرها بواسطة `embed multimodal`. ونتيجة لذلك، تقوم الدالة `sanity check mm encoder outputs` بتفعيل تأكيد قاتل (fatal assertion) يؤدي إلى إيقاف تشغيل المحرك لجميع المستخدمين. يؤثر هذا الأمر على مسارات صور DeepSeek-OCR و DeepSeek-OCR-2 و Unlimited-OCR.

توجد ثغرة تؤدي إلى حجب الخدمة تسمح للمهاجمين عن بُعد بتعطيل المحرك عن طريق إرسال بيانات وصفية متعددة الوسائط غير متسقة إلى نقطة النهاية المفصلة '/inference/v1/generate'. يحدث هذا عندما يتم إعادة إرسال عنصر متعدد الوسائط صالح بنطاقات `mm placeholders` مكررة أو متداخلة، أو عندما تكون قوائم `kwargs data` و `mm hashes` غير متطابقة. تؤدي هذه الإجراءات إلى إنشاء نطاق نصي سلبي أثناء بناء موضع Qwen2.5-VL، مما يتسبب في إيقاف المحرك.

يستخدم البرنامج `uuid` متعدد الوسائط مقدم من العميل كما هو كمعرف لذاكرة التخزين المؤقت دون إجراء فحص للاتساق عند حدوث إصابات في ذاكرة التخزين المؤقت. يسمح هذا للمهاجمين غير المصرح لهم بإحداث عدم تزامن في ذاكرات التخزين المؤقت للمعالجات P0/P1، مما يؤدي إلى عدم تطابق قاتل في مكان حامل الرمز يتسبب في تعطل مثيل الخدمة بالكامل، مما يتطلب إعادة التشغيل للتعافي.