PT-2026-120175
CVE-2026-114049
·
تاريخ النشر
2026-10-21
·
تاريخ التحديث
2026-10-21
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
vLLM الإصدارات السابقة لـ 0.31.0
Description
يوجد تسريب للقناع بين الطلبات في دالة
condense() الخاصة بفئة InputBatch. يسمح هذا الخلل للمهاجمين عن بُعد بتقييد مخرجات العملاء الآخرين من خلال ترك صفوف allowed token ids قديمة. يمكن للمهاجمين إرسال طلبات توليد مقيدة متزامنة، بما في ذلك عبر نقطة النهاية '/invocations' غير المصرح بها، مما يؤدي إلى تطبيق قائمة السماح بالرموز الخاصة بهم على طلبات الضحايا غير المقيدة في فتحات الدفعات المعاد تدويرها.Recommendations
تحديث vLLM إلى الإصدار 0.31.0 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾