PT-2025-23228
CVE-2025-48944
·
تاريخ النشر
2025-05-28
·
تاريخ التحديث
2026-07-07
الوصف من
CVSS 2.0
6.8
متوسطةالمقاييسAV:N/AC:L/Au:S/C:N/I:N/A:C
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات vLLM من 0.8.0 إلى 0.9.0
الوصف
تفشل الخلفية (backend) لـ vLLM المستخدمة مع نقطة نهاية واجهة برمجة التطبيقات (API) ”/v1/chat/completions“ في التحقق من صحة المدخلات غير المتوقعة أو غير الصحيحة في الحقول
pattern وtype عند استدعاء وظيفة الأدوات. لا يتم التحقق من صحة هذه المدخلات قبل تجميعها أو تحليلها، مما يتسبب في حدوث عطل خطير في وحدة الاستدلال (worker) عند تلقي طلب واحد فقط. وستظل وحدة الاستدلال غير متاحة حتى يتم إعادة تشغيلها. يُتوقع أن يكون الحقل type أحد الخيارات التالية: ”string“ أو ”number“ أو ”object“ أو ”boolean“ أو ’array‘ أو ”null“. سيؤدي توفير أي قيمة أخرى إلى حدوث عطل خطير في وحدة العمل. يخضع الحقل pattern لعملية العرض قبل أن يتم تمريره بشكل غير آمن إلى مُركِّب تعبيرات regex الأصلي دون التحقق من صحته أو إخراجه، مما يسمح للتعبيرات غير الصحيحة بالوصول إلى آلية regex C++ الأساسية، مما يؤدي إلى أخطاء فادحة.التوصيات
بالنسبة للإصدارات من 0.8.0 إلى 0.9.0، قم بالتحديث إلى الإصدار 0.9.0 لإصلاح المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API)
/v1/chat/completions أو تعطيل وظيفة الأدوات حتى يتوفر تصحيح. تجنب استخدام الحقلين pattern وtype في نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾