PT-2025-23136
CVE-2025-46722
·
تاريخ النشر
2025-04-29
·
تاريخ التحديث
2025-06-24
الوصف من
CVSS 2.0
7.5
عاليةالمقاييسAV:N/AC:L/Au:N/C:P/I:P/A:P
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات vLLM من 0.7.0 إلى 0.8.x
الوصف
تتعلق المشكلة بمسألة تتعلق بالأمان وسلامة البيانات في طريقة التجزئة (hash) للصور في فئة MultiModalHasher. وعلى وجه التحديد، تقوم الطريقة بتسلسل كائنات PIL.Image.Image باستخدام obj.tobytes() فقط، مما يؤدي إلى إرجاع البيانات الأولية للبكسل دون تضمين البيانات الوصفية مثل أبعاد الصورة. قد يؤدي ذلك إلى تضارب التجزئة، وعمليات استرجاع غير صحيحة من ذاكرة التخزين المؤقت، واحتمال حدوث تسرب للبيانات أو مخاطر أمنية. تنشأ المشكلة لأن صورتين لهما نفس تسلسل بايتات البكسل، ولكن بأحجام مختلفة، يمكن أن تنتجا نفس قيمة التجزئة.
التوصيات
بالنسبة للإصدارات من 0.7.0 إلى 0.8.x، قم بالتحديث إلى الإصدار 0.9.0، الذي يتضمن تصحيحًا لهذه المشكلة. كحل مؤقت، ضع في اعتبارك تعديل الأسلوب serialize item في فئة MultiModalHasher لتضمين جميع البيانات الوصفية المهمة، مثل الأبعاد ووضع اللون والتنسيق وقاموس info، في حساب التجزئة لمنع حدوث تضارب.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾